DeFi安全警报：多链合约漏洞致百万美元损失

核心提要：区块链安全公司Blockaid披露多起严重漏洞事件，涉及ShapeShift在Arbitrum上的FOX Colony资金损失，累计超18万美元。攻击者利用executeMetaTransaction功能缺陷实施双重攻击，威胁整个Colony Network生态。2026年4月已成DeFi漏洞高发期，总损失达6.25亿美元。

多链智能合约漏洞引发连锁损失，总金额逼近19万美元

区块链安全机构Blockaid确认，ShapeShift在Arbitrum网络上部署的FOX Colony合约遭遇针对性攻击，导致约13.27万美元资产被转移。攻击者利用executeMetaTransaction功能中的委托调用机制，将资金引导至恶意地址。数小时内，同一漏洞再次被利用，造成额外5万美元损失，累计损失接近18.27万美元。

核心函数设计缺陷暴露，任意外部账户均可触发攻击

根据5月13日发布的分析报告，漏洞根源在于executeMetaTransaction函数未对调用方身份进行有效验证。攻击者通过伪造元签名，诱导合约解析器跳转至其控制的恶意地址，再借由委托调用完成资金提取。由于该功能开放给所有外部地址，实质上等同于公开了协议的权限密钥，使任何发现者皆可发起攻击。

全生态风险蔓延，所有基于EtherRouter的Colony部署均受威胁

Blockaid向DeFi社区发出紧急预警，指出所有采用EtherRouter框架构建的Colony Network实例，无论部署在何种公链，均存在相同攻击路径。目前ShapeShift尚未发布官方回应。这已是2026年第四季度发生的第三起重大安全事件，凸显去中心化协议在快速迭代中面临的安全短板。

此前四月，该公司曾揭露Wasabi Protocol因管理员密钥泄露遭500万美元攻击，多个资金池被清空；五月初又发现TrustedVolumes平台遭遇670万美元损失。数据显示，2026年4月共记录28起独立漏洞事件，总损失额高达6.25亿美元。此外，四月还曾预警CoW Swap用户界面被劫持，攻击者通过篡改前端推送虚假交易指令。目前，Blockaid每日监测超过5亿笔链上交易，为多家主流平台提供实时安全防护服务。