根据Chainalysis本周分享的一份新报告，攻击者在过去六个月内从运行未经验证智能合约的协议中至少窃取了3670万美元。该公司将这一激增直接归因于AI辅助的漏洞利用开发——具体来说，是大型语言模型（LLM）大规模分析反编译字节码的能力。这些发现为那些跳过合约验证的DeFi团队描绘了一幅严峻的图景：他们不仅失去了透明度，还为自动化、AI驱动的攻击敞开了大门。
攻击如何运作
Chainalysis概述了一个流程，该流程始于Dedaub、Heimdall和Panoramix等反编译器——这些工具将原始字节码转换回可读的Solidity代码。然后，这些可读代码被输入LLM，后者会标记出重入漏洞、访问控制漏洞和算术错误。该过程是自动化的，允许攻击者扫描数千个未经验证的合约，根据估计的可利用性和潜在收益进行分类，然后发起攻击。未经验证的合约也避开了白帽研究人员的视线，并且通常被排除在漏洞赏金计划之外——使其成为主要且低风险的目标。
Truebit案例
最大的单一事件是1月8日的Truebit黑客攻击，由于其联合曲线中的整数溢出漏洞，导致2620万美元被盗。该合约已部署在Ethereum上，但从未经验证——自2021年以来一直未经验证。同一个利用Truebit的地址在12天前还攻击了一个更小的目标，从Sparkle协议中窃取了5 ETH。两次攻击的收益都通过Tornado Cash进行了洗钱。Chainalysis没有点名攻击者，但模式表明是一个单一操作者或团体在针对大目标之前先在较低价值的协议上测试工具。
Anthropic的发现
报告中引用的Anthropic自身研究发现，即使对于低技能黑客，AI也能执行高级攻击步骤，从而提高了整体威胁水平。在单独的演示中，Anthropic展示了AI代理自主利用智能合约窃取数百万美元——包括在模型知识截止日期之后部署的合约。安全专家警告称，AI代理现在在DeFi领域已经超越了人类审计员，Chainalysis预计随着反编译工具的改进，这一趋势将加速。
协议应该做什么
Chainalysis敦促每个协议验证所有已部署的代码——这是第一道也是最便宜的防线。他们还建议将漏洞赏金范围扩大到覆盖未经验证的合约，并采用实时链上监控。时间紧迫：研究人员用于善意的相同反编译和LLM工具可以被攻击者重新利用。现在的问题是，还有多少未经验证的合约存在，等待被扫描。
