BlockBeats 消息，4 月 29 日，跨链协议 **ZetaChain** 披露：其近期约 **33.4 万美元**的漏洞攻击事件，背后涉及的安全问题曾在漏洞赏金计划中被研究员提前报告。但当时项目方将其视为「预期行为」，未予处理。
—
## 事故复盘：三处“低风险”缺陷叠加成致命漏洞
根据官方发布的事故复盘，此次攻击并非单点故障，而是由**三个看似独立、风险较低的设计缺陷组合**触发：
1. **Gateway 合约**允许任何人发送**任意跨链指令**；
2. **接收端**几乎可对**任意合约执行调用**，且**黑名单限制过于狭窄**；
3. 部分钱包长期保留**无限授权（Unlimited Approval）**，未被及时清理。
—
## 攻击路径：利用 Gateway 指令完成代币转移
攻击者正是通过将上述缺陷串联起来，最终发出指令，让 **Gateway** 将代币**直接转入其控制地址**，从而完成资产转移。
—
## 影响范围：共 9 笔交易，用户资金未受影响
ZetaChain 表示，本次攻击共涉及以下链上的 **9 笔交易**：
– **Ethereum**
– **Arbitrum**
– **Base**
– **BSC**
被盗资金均来自 **ZetaChain 控制的钱包**，**用户资金未受影响**。
—
## 官方定性：明显预谋，并提前完成资金与部署准备
官方称，该攻击具有明显预谋性。攻击者在作案前三天便通过 **Tornado Cash** 为钱包注资，并提前部署**专用 Drainer 合约**，同时还实施了 **地址污染（Address Poisoning）**攻击。
—
## 修复进展：禁用任意调用 + 收紧授权机制
目前，ZetaChain 已开始向主网节点推送修复补丁，主要包括：
– **永久禁用 arbitrary call（任意调用）功能**
– 将存款流程中的**无限授权机制**改为**精确额度授权**
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/176071/
