Raydium旧代码漏洞致134万美元损失

核心提要：Raydium因已退役的AMM V3旧程序遭利用，导致134万美元资金被盗。攻击者利用LP代币铸币地址验证缺陷，洗劫五个僵尸流动性池。项目方承诺全额赔付，用户无损。事件揭示了废弃合约仍存重大安全隐患。

Raydium旧版AMM协议遭黑客利用，134万美元资产被窃

Solana生态核心去中心化交易所Raydium近日遭遇严重安全事件，其早已停用的Legacy AMM V3程序被恶意利用，造成约134万美元资产流失。此次攻击并非针对当前运行系统，而是源于一段长期未被清理的遗留代码，暴露了项目在合约生命周期管理上的盲区。

废弃协议成安全黑洞，漏洞藏于细节

Raydium官方确认，攻击发生于其已停止维护的旧版自动做市商协议中。该版本自2021年起便不再提供用户界面访问，但部分流动性池仍保留在链上，资金静置多年。黑客发现其中存在对流动性提供者代币铸造地址验证不足的问题，通过伪造地址绕过安全校验，实现快速提走资金。

五处僵尸池遭劫，资金流向成谜

被攻击的为五个历史遗留池：RAY-SOL、USDC-RAY、SRM-RAY、Sollet ETH-RAY与Sollet USDT-RAY。被盗资产包括约15万枚RAY代币、5600枚SOL及近90万枚USDC。追踪显示，部分资金经由以太坊跨链转移，并进入Tornado Cash等混币服务，另有少量流入FixedFloat平台，追回可能性极低。

项目方迅速响应，承诺全额赔偿

尽管损失金额可观，但Raydium明确表示将动用自有资金承担全部赔偿责任，确保用户本金不受影响。团队强调，当前主网应用、SDK及活跃合约均未受影响，此次事件仅波及已废弃的旧逻辑模块。同时，项目方已启动全面排查，评估其他类似潜在风险点。

为何旧合约仍在运行？风险未随弃用消失

区块链上的智能合约一旦部署便永久存在，即便协议升级也无法自动清除。只要仍有资金留存，就始终面临被攻击可能。相比现行采用“虚拟供应量”机制进行地址校验的新型协议，旧版缺乏有效验证流程，成为攻击入口。这一案例凸显出项目方必须建立全周期审计机制。

市场反应冷静，价格波动有限

令人意外的是，事件公布后RAY代币价格并未剧烈震荡。当日跌幅不足1%，随后迅速反弹0.55%。截至发稿，其交易价约为0.5718美元，24小时交易量激增至2200万美元，总锁仓量维持在7.7亿美元，市值达1.5382亿美元，反映出市场对项目偿付能力的高度信任。

给整个DeFi生态的警示：遗忘的代码同样危险

虽然普通用户使用当前平台不受影响，但此事件敲响警钟——任何未清理的遗留合约都是潜在威胁。投资者应关注项目是否具备健全的合约退役与审计机制。Raydium在事件披露中的透明度和快速应对，为行业树立了良好范例。

核心结论：废弃代码仍具杀伤力

本次事件表明，即使协议已停用多年，若未彻底移除或冻结相关合约，依然可能成为攻击目标。尽管损失由财库承担且未波及主系统，但其背后暴露出的治理疏漏值得所有DeFi项目深思。技术迭代不能止于功能更新，更需同步清理历史负担。