本周加密领域发生了一个罕见的令人欣慰的转折，一位用户在因钱包漏洞损失100 ETH后成功追回资金。
这次追回资金得益于Safe钱包团队的行动和Protofire的白帽开发者的远见。
100 ETH因钱包漏洞丢失——随后在惊人的救援中追回
事件发生时，长期以太坊用户khalo_0x在X（Twitter）上尝试将100 ETH从以太坊主网桥接到Base区块链。他使用了官方Safe钱包桥接界面。
按当前汇率，ETH交易价格为2,635美元，这笔转账价值超过263,500美元。
以太坊（ETH）价格表现。来源：BeInCrypto他不知道的是，桥接工具中的一个关键用户体验漏洞允许转账到一个看似是他的智能合约钱包。
然而，这个钱包实际上由另一个实体控制。
问题的根源在于Khalo使用了2020年部署的过时版本Safe（v1.1.1）。这个旧版本早于多链考虑，缺乏现在新版本中标准的保护措施。
结果是，一个攻击者（最初看起来如此）之前在Base上部署了Khalo钱包地址的副本，但使用了不同的所有者配置。通过这种方式，他们在资金桥接后立即有效地劫持了资金。
"我昨晚使用Safe一键失去了毕生积蓄。这是在持有ETH 8年并避免诈骗之后。官方桥接功能中的用户体验漏洞暗示目标地址是我在Base上的Safe。但事实并非如此，"Khalo在一篇帖子中哀叹。
这条推文引起了加密社区的关注，包括Safe团队。开发者Tschubotz.eth调查后发现，控制已桥接ETH的Base地址实际上并非恶意的。
过时的钱包版本为跨链漏洞开了门
相反，这是由Protofire（一家白帽开发公司）部署的，他们主动在Base上部署了数百个Safe v1.1.1钱包，以防止黑帽攻击者这样做。
"与外部拥有账户（EOA）不同，像Safe这样的智能账户由部署的智能合约代码管理。从技术上讲，可以在不同链上以相同地址部署具有相同部署配置（相同签名者）的智能账户（使用反事实部署）……但这个案例不同……当时的智能账户版本（v1.1.1）尚未考虑多链，因此任何人都可以在不同链上以相同地址部署具有完全不同配置的智能账户，"Safe联合创始人Lukas Schor 解释。
在验证了Khalo的身份后，Protofire promptly返还了全部100 ETH。在进行测试交易后成功完成全额转账，危机在发生几小时后得到解决。
"这是我近期见过的最酷的加密故事之一，"Dragonfly管理合伙人Haseeb Qureshi 表示。
这一事件凸显了随着加密钱包在多链生态系统中的发展，迫切需要更好的用户保护措施。
Safe的更新版本v1.2.0现在通过更改合约部署期间CREATE2盐的计算方式，包括了针对此类漏洞的保护。
桥接工具还升级为在目标地址存在冲突智能合约代码时发出警告。
尽管如此，这一事件仍是一个发人深省的提醒，表明用户仍然容易受到微妙且不明显的漏洞影响。
"……我们仍处于用户在转移大额资金之前需要进行测试交易的阶段，"Schor补充道。
尽管最初经历了创伤，但Khalo的故事最终以资金追回而告终。
