UNCX Network Vesting V2 合约遭攻击，损失约 149 万美元

区块链安全公司 Blockaid 于 2026 年 10 月 15 日报告称，UNCX Network（前身为 Unicrypt）的 Vesting V2 合约在四条区块链上遭到利用，总损失约为 149 万美元。此次攻击最初在以太坊网络上造成 8.6 万美元的损失，随后随着仿冒钱包和交易机器人的加入，损失规模扩大了 17 倍以上。

该托管平台在一份官方声明中披露了此次事件，并表示正与执法部门及 SEAL 911 合作，共同制定资金追回计划。UNCX 允许加密项目锁定流动性并安排代币释放时间表，以防止团队和投资者的份额被一次性抛售。Blockaid 指出，此次资金流失源于管理这些时间表的共享池——VestingManager 合约中存在一个会计逻辑缺陷。

会计缺陷是如何被利用的

该缺陷涉及合约如何追踪已释放和已取消的释放份额。ExVul 的安全研究人员在审查第一笔以太坊交易后发现，release() 函数在减少全局份额总数的同时，并未从头寸记录的存款中移除已释放的份额。因此，当后续进行取消操作时，同一份额会被重复扣除两次。

攻击者通过创建释放头寸、释放大额头寸、捐赠代币回充，然后取消已加充的头寸，制造了一个微小的剩余头寸。该头寸能够提取支撑其他用户存款的代币。在此过程中，没有任何私钥泄露；完全是由于合约自身的记账机制导致了资金流失。

跨四链的影响范围与遏制措施

根据 Blockaid 的数据，损失分布如下：币安智能链（BNB Smart Chain）约 96.9 万美元，以太坊网络约 24.2 万美元，Robinhood Chain 约 16.9 万美元，Base 网络约 11.4 万美元。这涉及 11 笔资金流失交易，其中包括仿冒地址和 MEV（最大可提取价值）机器人的参与。

UNCX 表示，此次事件共涉及 10 种代币：以太坊上的 pepecoin、EDGEN、ZC、X、LO0P 和 PAAL；Base 上的 IMO；币安链上的 BTCLE；以及 Robinhood Chain 上的 CASHCAT 和 RKST。

UNCX 强调，其流动性锁定器和传统 vesting 合约未受影响。为遏制漏洞被进一步利用，平台将新锁定的费用提高至每笔超过 1,000 ETH，移除了绕过费用的路径，并将代币费用提升至合约规定的 5% 上限。当 Blockaid 发现此次攻击时，受影响的以太坊合约中仍有约 325 万美元的资金。

后续发展

UNCX 表示，原始攻击者或任何链条上的仿冒者尚未归还任何资金，并建议投资者在相关代币团队发布指导意见之前，避免交易受影响的池子。预计本周内将发布一份全面的事故报告，涵盖技术发现、财务细节以及拟议的资金追回计划。

此次事件再次提醒市场，包括代币 vesting 基础设施在内的共享智能合约，可能在钱包未被攻破的情况下发生资金流失。这一风险在更广泛的区块链安全分析中已被多次提及。