Flow 假代币漏洞曝光！5 小时暴跌 40% 损失 390 万美元

Flow 基金会披露12月27日协议级漏洞损失390万美元。攻击者利用Cadence缺陷复制资产而非窃取，验证者6小时内暂停网络。FLOW5小时暴跌40%，从2021年的40美元跌至0.075美元。Flow由Dapper Labs创建，曾获a16z投资7.25亿美元。

协议层复制代币的技术漏洞解析

Flow基金会周二发布了一份技术分析报告，详细介绍了12月27日发生的协议级漏洞事件。攻击者利用了Flow的Cadence运行环境中的漏洞，该漏洞允许复制某些资产而非铸造，从而绕过供应控制，且无需访问或消耗现有用户余额。

这种攻击方式在区块链安全史上极为罕见。传统的黑客攻击通常是窃取私钥或利用智能合约漏洞转走用户资产，但Flow的漏洞允许攻击者凭空「复制」代币，就像影印机复印钞票一样。由于攻击复制了资产而非从账户中窃取资金，因此没有现有用户余额受到影响。这种特性使得漏洞在初期难以察觉，因为用户不会发现自己的钱包余额减少。

在第一笔恶意交易发生后的六小时内，验证者协调暂停了网络运行，而交易所合作伙伴则在大部分伪造资产被出售之前将其冻结。Flow表示，此次临时停驶将网络置于只读模式，以切断出口路径并防止进一步的数据复制，同时对问题进行调查。

两天后，运营根据一项「隔离恢复」计划恢复，该计划保留了合法的交易记录，并授权通过经管理层批准的流程回收和永久销毁伪造资产。虽然攻击者在链上生成了大量的伪造代币，但Flow表示，绝大多数伪造代币在清算前已被控制或冻结。作为预防措施，少数与伪造代币进行过交互的账户被暂时限制访问，而超过99%的账户在恢复期间及恢复后均保持了完全访问权限。

Flow漏洞事件时间轴与处理流程

12月27日首笔攻击：黑客利用Cadence漏洞开始复制代币

6小时内网络暂停：验证者协调进入只读模式，切断攻击路径

交易所紧急冻结：合作伙伴在大部分伪币出售前执行冻结

两天后隔离恢复：保留合法交易，销毁伪造资产，99%账户不受影响

从40美元到0.075美元的漫长衰落

（来源：CoinGecko）

非同质化代币项目CryptoKitties的创建者Dapper Labs于2019年9月宣布开发Flow，这是一个新的第1层区块链，旨在解决游戏和数字收藏品等消费者应用面临的可扩展性挑战。NBA Top Shot（一个用于交易官方授权NBA影片精华的NFT平台）的早期成功，帮助Flow区块链在2020年和2021年获得了主流关注。

在此背景下，根据CoinGecko的数据，该网络的FLOW代币在2021年飙升至40美元以上。Flow的发展势头延续到了2022年，该项目从包括Andreessen Horowitz (a16z) 和Union Square Ventures在内的投资者那里筹集了约7.25亿美元，以支持生态系统发展。这种顶级机构背书使Flow一度被视为NFT基础设施的王者。

随着NFT市场在随后的几年逐渐降温，FLOW代币也失去了发展势头，此后市值跌出了前300名加密货币之列。12月27日黑客攻击事件发生后，FLOW股价下跌速度加快，五小时内下跌了约40%。该代币价格在1月2日一度跌至0.075美元的低点，之后开始回升。根据Cointelegraph数据显示，截至发稿时，其交易价格接近0.10美元，过去24小时内上涨了约16%。

从40美元到0.075美元，跌幅超过99.8%，这种崩盘幅度即使在加密市场也属极端。Flow的衰落反映了整个NFT基础设施板块的困境，当投机热潮退去，缺乏实际应用的项目迅速被市场抛弃。

漏洞修复与未来安全强化措施

基金会表示，他们已修复了底层漏洞，增加了更严格的运行时检查，并扩展了回归测试，以防止类似攻击。此外，他们还与取证合作伙伴和执法部门合作，并计划加强监控和漏洞赏金计划，作为更广泛的安全加固措施的一部分。

这种全面的安全响应是必要的，但也暴露了Flow在早期设计上的缺陷。Cadence作为Flow的核心智能合约语言，其运行环境存在允许资产复制的漏洞，显示代码审计和安全测试存在盲点。对于一个已运行数年、处理过数亿美元交易的区块链而言，这种协议级漏洞的出现极为罕见且严重。

漏洞赏金计划的加强是积极信号，但投资者信心已受损。Flow需要通过持续的安全审计、透明的事故报告和零漏洞记录来重建信任。在当前竞争激烈的Layer-1市场中，一次重大安全事故可能是致命的。