NFT 市場 Talis Protocol：Injective 合約遭利用，約 5700 枚託管 NFT 被賣出
2026 年 10 月 31 日，NFT 市場 Talis Protocol 官方表示，攻擊者利用其在 Injective 鏈上的 marketplace 與 auction 合約漏洞，取出約 5700 枚託管（escrowed）NFT，並通過公開的系列收購報價（open collection offers）售出。
平臺已暫停 Injective 上的新掛單與拍賣，並將合約內逾 2.6 萬枚 NFT 返還原持有人。作爲預防，其他鏈上的新掛單與拍賣也已暫停；用戶仍可取消未成交報價。修復後的合約正接受部署前審查，時間表將隨後公佈。團隊已記錄每枚受影響 NFT、被盜前持有人及每筆成交報價，正制定方案，擬將受影響 NFT 歸還原持有者，並讓報價方獲得補償，隨後公佈受影響名單。平臺強調不會通過私信要求用戶連接錢包領取任何內容，完整事後說明將隨後發佈。
原始來源：
標題：1/ Earlier today, Oct 31, an attacker exploited a bug in the Talis marketplace and auction contracts on Injective. About 5,700 escrowed NFTs were taken and sold into open collection offers. Here's where things stand 🧵 發佈者：Talis Protocol（@ProtocolTalis） 發佈日期：2026-10-31 URL：https://x.com/ProtocolTalis/status/2116664033457680705 來源性質：當事人原帖 覈驗情況：本次讀取完整線程（1–6 條），覈驗日期 2026-11-01 支持內容：攻擊時間、漏洞位置（Injective marketplace 與 auction 合約）、約 5700 枚託管 NFT 被取出並賣入 open collection offers；暫停 Injective 新掛單與拍賣並返還逾 2.6 萬枚 NFT；其他鏈暫停；修復合約審查中；記錄受影響 NFT、原持有人及成交報價並制定歸還與補償方案；不通過私信要求連接錢包；將發佈事後說明。
標題：THE BLOCK: Talis Protocol, an NFT marketplace on Injective, said an attacker exploited a bug... 發佈者：The Block（@TheBlockCo） 發佈日期：2026-11-01 URL：https://x.com/TheBlockCo/status/2116907452788777122 來源性質：媒體報道 覈驗情況：讀取帖文及引用官方線程，覈驗日期 2026-11-01 支持內容：官方聲明的核心事實；鏈上數據顯示攻擊者淨得約 445 INJ（約 3100 美元），多數 NFT 以極低價格（中位數約 2 美分）賣給出價機器人，收益在約 1 小時內兌換爲 USDT 並橋接到以太坊。
ABAB AI 解讀
Talis Protocol 於 2021 年成立，早期定位於連接實體藝術與區塊鏈的 DAO 市場，初始構建在 Terra 上。2021 年 11 月完成約 230 萬美元種子輪融資，領投方包括 ParaFi Capital 與 Arrington Capital，參投方有 Benson Oak Ventures、Blocbits、GCW Capital 等。隨後平臺重心轉向 Injective，並擴展至 Xion、Orai 等多鏈，定位爲 Cosmos 生態的 NFT 市場，提供無代碼合集創建、鏈上版稅強制執行等功能。團隊規模較小，公開資料顯示員工約 4 人，CEO 爲 Eloi Henrard。
此次漏洞的核心機制在於託管合約。用戶掛單或參與拍賣時，NFT 進入平臺合約託管。攻擊者利用 marketplace 與 auction 合約缺陷直接取出約 5700 枚，再立即賣入已存在的 open collection offers（系列公開報價）。這類報價是針對整個合集的持續出價，無需等待特定買家，因此攻擊者能迅速變現。The Block 與 Crypto Briefing 等媒體引用的鏈上數據顯示，實際淨得僅約 445 INJ（當時約 3100 美元），多數被出價機器人以約 2 美分中位數成交，顯示目標合集流動性極低，攻擊收益與資產數量嚴重不成比例。
相比之下，2022 年前後多個 NFT 市場（如部分基於 OpenSea 或自定義合約的項目）也曾因託管邏輯或權限校驗缺陷出現資產被批量取出的情況。那些案例中，攻擊者通常能以更高價格套現，或通過閃電貸等組合放大收益。Talis 此次不同之處在於：變現渠道高度依賴已有低價 collection offers，導致財務損失有限，但所有權混亂覆蓋面廣；平臺選擇將合約內全部逾 2.6 萬枚託管 NFT（遠超被盜數量）一次性返還原持有人，屬於更激進的清理動作，而非僅追回被盜部分。
對 Talis 用戶而言，直接變化是託管資產的臨時所有權被中斷，且部分 NFT 已進入機器人錢包。平臺承諾歸還原持有者並補償成交報價方，但方案細節與實施時間尚未公佈，需等待受影響名單與事後說明。由於團隊規模與資金體量較小（歷史融資約 230 萬美元），補償能否覆蓋原持有人的主觀價值損失（而非鏈上成交價），將取決於其後續執行能力。觀察指標是受影響名單發佈後，原持有人實際收回 NFT 的比例，以及補償是否以原報價金額或平臺代幣形式落地。
ABAB News · 認知定律
託管合約漏洞讓攻擊者直接取出資產，但低流動性 collection offers 把大額資產數量壓成了小額變現。
平臺選擇返還全部託管 NFT 而非僅追回被盜部分，清理範圍大於損失範圍，但補償仍待方案落地。