Pennysia 结算合约遭利用，攻击者花费残留的以太坊代币授权
Pennysia 的兑换路线可任意调用代币合约，使用用户尚未撤销的授权。研究人员追踪到一笔从四个钱包转出资金的攻击交易。即使兑换已停用，也应撤销授权。
- 披露时间
- 2026年11月13日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 仍向受影响的 PennysiaSettlement 合约保留 ERC-20 授权的以太坊钱包。
- DeFi · 以太坊 · 代币授权
- 在野利用
- 已发现
- 慢雾调查了用户失窃报告；独立交易追踪显示四个钱包的代币被转出。
发生了什么
慢雾称，调查用户失窃报告后发现 Pennysia 的以太坊结算合约存在任意外部调用漏洞。PandaSecurity 还原了交易调用：攻击者控制兑换路线，让结算合约调用 ERC-20 的 transferFrom，转出用户此前授权的代币。攻击者控制的代币让该路线通过了余额检查。受影响钱包无需签署这笔攻击交易。
观察到的交易从四个钱包经结算合约和辅助合约转出了 5,006.133489 USDC、0.05 wstETH 和 101,000 YUNO。这些数字仅指该笔交易，来源尚未确定最终损失或赔付情况。PandaSecurity 观察到合约的兑换开关已关闭。暂停兑换不会清除授权，来源也未证实已部署修复版。
类似合约的运营方应将外部调用限制在获准的目标与方法，并把执行功能与持有用户授权的合约分离。测试任意路线不能扣减第三方的余额或授权额度。
案发时间线
11月12日 13:59 UTC
一笔交易转出四个钱包的代币
以太坊区块 26,399,314 中的这笔交易使用残留授权转移了三种资产。
2026年11月13日
慢雾提醒用户，研究人员追踪攻击交易
研究人员核查时发现兑换已停用。用户仍需撤销现有授权。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- 慢雾原始预警（公开嵌入）一手来源解释任意外部调用及残留授权的利用。
- PandaSecurity 交易追踪分析一手来源还原调用链、四个受影响钱包、代币转移和兑换入口暂停情况。
- 以太坊交易和代币转移记录一手来源展示代币经结算合约和辅助合约转移。
- PennysiaSettlement 已验证合约一手来源标识需要检查授权的已部署合约。