代币授权：在你撤销之前，它们将一直保持有效

核心提要：加密授权漏洞：Ekubo协议遭攻击，142万美元被盗只要用户不主动撤销，授予智能合约的加密授权将一直有效。自2026年5月5日起，攻击者利用这一规则，通过向Ekubo协议的路由器授予的权限，从31个地址中盗取了约142万美元。据SlowMist创始人透露，主要受害者在158天前便已授予了这些权限。关键数据速览 1

加密授权漏洞：Ekubo协议遭攻击，142万美元被盗

只要用户不主动撤销，授予智能合约的加密授权将一直有效。自2026年5月5日起，攻击者利用这一规则，通过向Ekubo协议的路由器授予的权限，从31个地址中盗取了约142万美元。据SlowMist创始人透露，主要受害者在158天前便已授予了这些权限。

关键数据速览

142万美元：攻击者自2026年5月5日起，利用用户对Ekubo路由器的批准资金额。 158天：导致主要受害者损失约17枚WBTC的无限期授权存在的时间。 60%：根据2022年对截至2021年7月的交易研究，以太坊上无限期授权的比例。 2026年5月6日：首次被盗后的第二天，Ekubo创始人提出了ERC-8255标准，旨在实现授权默认过期。

加密授权不会随交易结束而终止

要在去中心化应用（DApp）上交换代币，用户首先必须签署一份授权消息。该消息允许智能合约代表用户提取其代币。ERC-20标准规定，合约可以“多次”执行此操作，直至达到设定的金额上限。然而，正如我们在关于“清晰签名”的文章中所指出的，您的钱包并不总是显示您正在签署的具体内容。

此外，这种授权没有有效期。以太坊官方指南在撤销部分明确指出：“合同权限没有到期日期。”因此，这些授权可能在数年后仍被使用。断开与网站的连接也无济于事，因为授权存在于区块链上的代币合约中，而非浏览器中。根据同一指南，项目在用户断开连接后仍保留对其代币的访问权。数字钱包确实保管着您的私钥，但并不保管您的授权记录。因此，您必须主动撤销授权才能切断这种访问权限。

金额大小构成了第二个问题。许多应用程序为了避免每次交换时都重新请求，会要求无限访问权限。2022年发表的一项大学研究测量了截至2021年7月31日的交易情况。当时，以太坊上60%的授权金额为无限额度。

加密授权：你以为你接受的是什么

当您验证交换操作时，您可能认为仅授权了单次操作。实际上，授权的效力更为深远。它允许合约在任何时间提取一定数量的代币，直到被撤销为止。只要合约运行正常，它只会为您自己的操作提取代币。然而，代码缺陷可能允许第三方触发提款。授权机制并不验证调用合约的是谁，它只检查合约是否有权提取您的代币。

EKUBO已修订了其解释。5月8日，其报告可能将大额授权归咎于自行提高限额的用户。但在5月16日，文本发生了变化。团队表示，其界面可能创建了一些此类授权，并不再试图追溯其来源。

EKUBO：一个被遗忘的路由器如何清空钱包

EKUBO是一个存在于Starknet及多个以太坊兼容链上的交易所协议。此次攻击针对的是HuffRouter，这是一种优化以降低费用的路由器，部署在以太坊和Arbitrum网络上。其用户确实赋予了该路由器提取其代币以执行交换的权利。

根据EKUBO的事故报告：“HuffRouter中的数据解析错误 [...] 允许调用者在原本有效的交换路径后添加任意字节，并将其解释为路由设置在结算时的数据。”具体而言，攻击者可以将任何用户指定为交换的付款人。任何曾授权此路由器的人都成为了目标。第一次提款发生在2026年5月5日UTC时间下午5:50。

EKUBO估计损失约为142万美元，涉及31个地址。然而，单个地址损失了约17枚WBTC（近137万美元）以及0.34枚cbBTC，占总损失的98%。此次攻击未影响流动性提供者，也未波及协议的Starknet版本。

团队还承认未对该合约进行审计，他们认为风险较低。据称，授权可以被限制，且通过界面的交换应保持小额且罕见。但这些路由器无法再修改：报告特别指出它们“仍然脆弱”。随后，EKUBO于6月23日部署了一个报销基金，按地址封顶，并由其DAO自愿支付。

Socket、LI.FI、SwapNet：多年来的相同模式

EKUBO并非孤例。Revoke.cash网站在其年度报告中列出了这些攻击。2025年记录了9起授权漏洞事件，总损失略超600万美元。而在2024年，损失高达8000万美元。

2024年7月，LI.FI平台损失约1160万美元，来自153个钱包。根据LI.FI发布的报告，该漏洞仅影响无限期授权。2024年1月，类似的Socket漏洞影响了约200名用户，均拥有无限访问权限。2026年1月，18名用户通过SwapNet的合同损失了1343万美元。根据Matcha Meta平台的事后分析，受害者禁用了默认提供的单次使用授权。但Matcha指出，即使精确设定未使用金额，资金仍面临风险。

这些攻击不同于签名诈骗。在签名诈骗中，虚假网站诱导用户签署给骗子的授权。根据安全公司ScamSniffer的2025年报告，此类盗窃在2025年造成了8385万美元的损失。

降低加密授权风险的建议

首要原则是限制金额。MetaMask允许在签署时设置支出上限。其官方帮助文档明确指出：“切勿授予无限（天文数字般高）的授权。”

其次，定期清理。工具Revoke.cash可显示您在80多个网络上的加密授权。Etherscan资源管理器上的验证器也可在以太坊上进行同样的操作。逐个撤销授权是免费的（不包括网络费用），而Revoke.cash对批量撤销收费1.50美元。新加坡警方和网络犯罪署在2024年1月的咨询中也建议审查并撤销大额授权。

最后，一些应用程序已开始限制持续时间。Uniswap应用使用Permit2，并根据其帮助中心提供为期30天的授权。然而，您首先需要向Permit2合约本身授予授权，而该授权不会过期。在Starknet上，代币遵循与以太坊相同的无过期模型。

ERC-8255希望授权默认过期

2026年5月6日，EKUBO创始人Moody Salem在EIP网站上提交了项目ERC-8255。其原理很简单：经典授权将在最大持续时间内过期，具体时间由每个代币设定。一个新功能还将允许授予更短的授权，最短至单个区块。

该提案首先添加了与现有应用程序兼容的新函数。然而，它改变了普通授权的行为，这导致了开发者的分歧。在Ethereum Magicians论坛上，一些人倾向于保持经典授权不变。研究人员pcaversaccio则认为，“授权一直是一个bug，而不是一个特性”（编辑翻译）。

还有其他方法。ERC-7674提案规定授权在交易结束时被擦除。自2025年5月的Pectra升级以来，兼容钱包也可以将授权和交换捆绑为单一操作。

截至2026年10月18日，ERC-8255仍处于项目阶段，其文本未引用任何实现。5月5日受影响的EKUBO路由器无法修改。因此，除非每个用户主动撤销，否则它们的无限期授权将继续存在。我们对最安全的加密钱包的比较展示了其他可用的保护措施。