Flow在完整的事件后报告中详细分析了3.9 3.9M的漏洞

Flow于2026年1月6日发布了一份事件后报告，讨论了其390万美元漏洞的根本原因。

攻击者 利用 Cadence运行时类型混淆漏洞伪造代币。Flow表示，没有现有用户余额被访问或泄露。

Flow将类型混淆漏洞确定为漏洞的根本原因

Flow发现类型混淆漏洞是主要原因。该漏洞使攻击者能够通过将受保护资产伪装成普通数据结构来逃避运行时安全检查。攻击者协调执行了约40个恶意智能合约。

攻击始于2025年12月26日23:25 PST，区块高度为137,363,398。在首次部署后几分钟内，伪造代币的生产开始。攻击者使用可复制的标准数据结构来伪装本应不可复制的受保护资产。通过利用Cadence的仅移动语义，这使得代币伪造成为可能。

Cadence和完全EVM等效环境是Flow运行的两个集成编程环境。在此实例中，漏洞针对的是Cadence。

初始恶意交易后六小时内网络中断

12月27日，在区块高度137,390,190，Flow验证者在05:23 PST开始协调网络暂停。所有逃生路线被切断，暂停发生在初始恶意交易后不到六小时。

伪造的 FLOW 于12月26日23:42 PST之前被转移到中心化交易所的存款账户。由于其规模和不规则性，大多数发送到交易所的大额FLOW转账在接收时被冻结。从12月27日00:06 PST开始，部分资产通过Celer、deBridge和Stargate桥接出链。

在01:30 PST，发出了第一个检测信号。此时，交易所存款与异常的跨VM FLOW流动相关联。从1:00 PST开始，随着伪造FLOW被清算，中心化交易所面临巨大的抛压。

交易所返还 484 百万枚伪造FLOW代币

根据 Flow 的说法，攻击者在多个中心化交易所存入了10.94亿枚伪造的FLOW。交易所合作伙伴Gate.io、MEXC和OKX返还了484,434,923枚FLOW，这些代币已被销毁。剩余98.7%的伪造代币供应量已在链上隔离，并正在销毁过程中。预计将在30天内完成全面解决，与其他交易所合作伙伴的协调仍在进行中。

在评估了包括 检查点恢复 在内的几种恢复选项后，选择了恢复策略。Flow与基础设施合作伙伴、桥接运营商和交易所举行了生态系统范围的咨询。

Flow的390万美元漏洞发生在2025年12月底和2026年1月初影响加密协议的一系列类似安全事件中。BtcTurk于2026年1月1日遭受了4800万美元的热钱包泄露。黑客入侵了该中心化交易所的热钱包基础设施，并将资金抽离至以太坊、Arbitrum、Polygon和其他链。

Binance于1月1日经历了一起涉及BROCCOLI代币的市场做市商账户操纵事件。