SlowMist創始人Cos：Wasabi Protocol遭單一EOA私鑰泄露攻擊損失超450萬美元
SlowMist創始人Cos發文，Wasabi Protocol（膜幣槓桿交易協議）因部署者EOA管理員私鑰泄露被攻擊，攻擊者通過UUPS升級可升級金庫和LongPool，跨Ethereum、Base、Berachain、Blast等多鏈抽走資金。
單一EOA控制一批perp vaults，無多籤、無timelock、無DAO治理，攻擊者先授予惡意helper合約ADMIN_ROLE，再調用strategyDeposit執行惡意strategy完成抽取。
損失約450萬至550萬美元，主要涉及PEPE、MOG、USDC、BTC等資產，後續換成ETH分散。
來源：公開信息
ABAB AI 解讀
SlowMist創始人Cos此前多次披露類似單一EOA控制升級合約導致的DeFi黑客事件，Wasabi Protocol作爲Berachain等新興鏈上的高收益perp vault項目，此前已通過Electric Capital等融資300萬美元，主打膜幣槓桿與vault yield，此次部署者錢包成爲單一故障點，與2024-2025年多起proxy upgrade攻擊模式一致。
資本路徑上，Wasabi將用戶存款集中於可升級金庫池，由單一部署者EOA掌握升級權限，動機在於快速迭代膜幣perps產品並降低治理開銷，但在TVL增長後未及時遷移至多籤或timelock，導致私鑰泄露直接轉化爲全鏈資產轉移，資源從協議池流向攻擊者控制地址。
類似Radiant Capital閃貸攻擊或此前多起UUPS proxy被管理員密鑰妥協案例（如2025年多起DeFi vault drain），Wasabi當前處於膜幣槓桿賽道從高收益擴張向安全合規轉型的早期階段，重點暴露於新興鏈基礎設施信任假設不足。
本質屬於技術替代下的資本集中風險：項目以單一EOA替代複雜治理結構以追求部署效率和迭代速度，機制在於DeFi開發者在TVL快速增長期優先產品功能而非安全邊界，導致權限集中於單個私鑰，在泄露後引發全協議資產定價權與流動性瞬間轉移。