區塊鏈安全公司 SlowMist 將兩個 Safe 多簽錢包的抵押品遭盜取，歸因於名為 FlashLoopAdapter 的第三方元件漏洞，並指出該缺陷位於 Safe 核心錢包基礎設施之外。此一發現將關注焦點從被廣泛使用的多簽合約本身，轉向與其相連的周邊工具。

SlowMist 對 FlashLoopAdapter 漏洞的通報內容

根據 SlowMist 的說法，漏洞並非位於 Safe 的核心多簽合約，而是位於名為 FlashLoopAdapter 的第三方適配器中，該公司直接將抵押品損失歸因於此元件，將根本原因定位在主要錢包基礎設施之外。兩個 Safe 多簽錢包被確認受到影響，抵押品因所通報的缺陷而遭盜取。

在現有資訊中，SlowMist 尚未確認確切的損失金額或代幣數量、攻擊者身分，以及事件的確切時間線。在類似案例中，CryptoSlate 報導駭客利用第三方 Aave 相關工具竊取 114 ETH，顯示針對 DeFi 鄰近基礎設施的周邊適配器攻擊是一種反覆出現的模式。

報告已確認與未確認的事項

SlowMist 的歸因集中在 FlashLoopAdapter 作為有缺陷的元件。就現有資訊而言，該報告並未將此事件定性為 Safe 多簽簽名邏輯或其 guardian 模組架構的失敗。關於具體攻擊路徑、受影響的部署版本或修補狀態的說法，在相關專案團隊提供官方修復指引之前仍未經證實。

第三方適配器風險為何對 Safe 多簽錢包至關重要

Safe 多簽錢包在 DeFi 協議中被廣泛用於託管抵押品、管理資金庫資產以及執行治理交易。多簽設計需要多把授權金鑰批准每筆交易，因此任何單一外洩的金鑰都無法獨立移動資金。當團隊整合第三方適配器時，這些元件即繼承了與錢包所持資產互動的權限，使攻擊面擴大到 Safe 自身經過審計的合約所涵蓋範圍之外。

如 SlowMist 所述，FlashLoopAdapter 案例表明，即使底層多簽邏輯健全，周邊整合中的缺陷也可能足以盜取抵押品。安全研究人員已多次指出此一模式：在可組合的 DeFi 堆疊中，最脆弱的環節鮮少是核心協議。管理已整合類似適配器工具的高價值錢包的隊，應將此報告視為立即進行權限審查的提醒；對於任何正在監控自身是否暴露於對錢包資產具備高權限存取的第三方工具的協議而言，此一考量同樣適用。

適用範圍限制

所通報的缺陷僅影響 FlashLoopAdapter。目前的證據沒有任何依據可將所有 Safe 錢包部署或所有適配器整合都定性為已遭入侵。未使用 FlashLoopAdapter 的團隊仍應作為一般慣例，審查自身的第三方整合權限。

報告發布後錢包與協議團隊可檢視的事項

該報告確認，SlowMist 將抵押品遭盜歸因於第三方元件 FlashLoopAdapter 的缺陷，而非 Safe 的核心多簽合約；據報兩個 Safe 多簽錢包受到影響，而損失金額與經證實的攻擊路徑在現有資料來源中尚未獲得驗證。使用第三方適配器並持有抵押品的 Safe 錢包團隊，應審查整合權限，並關注專案官方管道以取得修復指引。

立即審查優先事項

任何營運已整合 FlashLoopAdapter 或類似閃電貸循環適配器（此類工具通常用於在借貸協議上自動執行重複的抵押與借款循環）的 Safe 多簽團隊，應審計這些合約對錢包資產持有的權限、撤銷不必要的授權，並在完整揭露資訊公布後，將合約地址與 SlowMist 公布的調查結果進行比對。若需經驗證的修復步驟，團隊應直接關注 SlowMist 的官方管道與 Safe 生態系統的安全公告，而非依賴二手摘要。

更廣泛的教訓延伸至創作者與協議資金庫管理：隨著 DeFi 基礎設施日益可組合，多簽錢包的安全態勢，僅取決於其所允許的審計最不完善的那項整合。管理鏈上資金庫或抵押池的協議團隊，應建立定期審查適配器權限的慣例，無論其技術堆疊是否曾發生具體事件。Web3 安全研究社群追蹤的此類安全事件，一致指向第三方整合是入侵入口，而非核心協議的失敗。

免責聲明：本文僅供資訊參考，不構成財務或投資建議。加密貨幣與數位資產市場具有重大風險。在做決策前，請務必自行研究。