安全研究員警告用戶立即撤銷對Blur的授權，因其合約可升級

安全研究員警告用戶立即撤銷對Blur的授權，因其合約可升級，在團隊前端下線背景下存在未來安全風險。

Blur宣佈將於2026年11月12日棄用前端，但鏈上協議與BLUR代幣費用開關仍將繼續運行。研究員檢查當前合約未發現已知漏洞，但指出升級機制允許合約隨時轉爲惡意邏輯，且已有八位數美元價值的NFT處於授權狀態。

上月Magic Eden相關合約遭利用，損失達數百萬美元。白帽操作救出超過23155枚NFT，價值逾570萬美元，但約660 WETH未能及時挽回，凸顯開放授權在攻擊工具進步下的持續風險。

Blur採用可升級代理合約設計，用戶對ExecutionDelegate等合約的setApprovalForAll授權爲永久且覆蓋整個集合，除非主動撤銷否則長期有效。研究員建議使用revoke.cash等工具立即清除授權，以防合約升級或運營安全失效。

Blur團隊當前運營狀態被指趨向解散，授權資產安全完全依賴團隊操作安全。協議本身仍可在鏈上繼續匹配訂單，但前端下線降低日常監控與響應能力。

資金與資產從用戶錢包流向持有授權的市場合約，事件由前端棄用與歷史漏洞驅動，持有開放授權的NFT持有者承壓，撤銷授權的用戶與白帽救援方受益於風險降低。

來源：公開信息

ABAB AI 解讀

Blur自2022年上線以來採用可升級代理合約與ExecutionDelegate架構，早期審計已指出所有者可升級並轉移已授權資產，類似OpenSea Conduit與LooksRare TransferManager的模塊化設計，但長期依賴團隊密鑰與運營安全。

用戶在掛單時授予永久集合級授權，資金與NFT控制權流向市場合約，Blur團隊通過升級權掌握潛在干預能力，動機在於靈活修復與功能迭代，卻在前端棄用後將風險集中於私鑰安全。

類似案例包括Magic Eden通過Limit Break Payment Processor V2遺留授權導致的2026年9月漏洞，白帽救出超570萬美元資產；亦與早期NFT市場如OpenSea歷史授權問題相似。當前處於NFT市場收縮階段，前端下線標誌從主動運營轉向協議休眠。

本質屬於監管變化的缺失與信任轉移：可升級合約將資產安全從不可變代碼轉向對團隊運營安全的持續信任，機制在於代理模式允許單筆交易改變邏輯，而授權不自動失效，使歷史交互成爲持久攻擊面。

ABAB News · 認知定律