闪电交易漏洞致9.8万USDC损失，团队确认用户已获全额退款

区块链文库报道：

Flash Trade 遭攻击损失 9.8 万美元 USDC，平台承诺全额赔付用户

去中心化永续合约交易平台 Flash Trade（基于 Solana 网络）遭遇攻击，导致 9.8 万美元 USDC 被非法提取。事件发生于新加坡时间 7 月 22 日 00:21，起因是平台所使用的 MagicBlock 软件开发工具包（SDK）中存在验证漏洞。

MagicBlock SDK 漏洞引发非法提款

本次攻击源于 MagicBlock SDK 中 #[ephemeral] Anchor 宏的漏洞，该宏负责处理委托撤销请求时智能合约集成商的回调过程。漏洞允许攻击者通过提交一个伪造的、模拟真实用户存款的账户来绕过委托撤销检查。

在一次交易中，攻击者的账户被用作某个兄弟委托撤销指令的缓冲。系统虽然正确验证了该缓冲是由委托计划拥有的签名者，但未能检查缓冲的种子是否与正确的程序派生地址匹配。这一疏忽为攻击提供了可乘之机，并导致了非法提款。

MagicBlock 随后审查了其他使用受影响宏的集成项目，并通知了相关项目方。已发布的 SDK 补丁版本 0.16.2 修复了缺失的验证，并建议所有集成商立即采用。

——MagicBlock 是一家区块链基础设施公司，专注于提供软件工具和 SDK，用于在 Solana 及其他网络上实现快速、安全的智能合约集成。

7 月 22 日 00:21（新加坡时间），Flash Trade 遭遇攻击，导致平台 9.8 万美元 USDC 被提取。Flash 的批量处理与监控系统立即发现了该活动，团队在几分钟内暂停了存款和提款功能。

根据 MagicBlock 的声明，该公司已与受影响的生态系统参与者合作，以防止类似事件再次发生，并鼓励尽早升级至修补后的 SDK 版本。

Flash Trade 的即时响应与用户资金保护

Flash Trade 报告称，其新型监控与批量处理系统在几分钟内标记了非法提款，使团队得以快速反应。所有交易、存款和提款功能立即暂停，作为预防措施，同时与 MagicBlock 协调调查事件。

正常交易功能在数小时内恢复，但存款和提款功能保持离线约 24 小时，在此期间进行对账流程，以确认所有平台余额并确保用户资金完整。团队强调，此次暂停是出于确保全面准确对账的考虑。

Flash Trade 与 MagicBlock 共同建立了赔偿基金，覆盖全部受影响金额，确保用户不会因本次攻击遭受任何损失。

Flash Trade 与 MagicBlock 均表示将全额承担非法提款损失，保证用户资金不受损害。其迅速响应与全额赔付得到了 Solana 社区的广泛赞扬。

行业反应与安全建议

知名数字资产钱包提供商 Backpack 的 CEO Armani Ferrante 公开评论了该事件。Ferrante 指出，此次攻击是保证金交易平台系统设计缺陷的典型案例，建议进行结构性改革。他建议实施隔离的、经过正式验证的托管合约，并配合 24 小时提款时间锁，以便在系统遭受攻击时为平台争取更多时间来阻止可疑交易。

Ferrante 认为，此类机制有助于限制攻击对预言机系统、钱包入侵和保证金操纵造成的影响。他肯定了 Flash Trade 的快速反应，并强调了主动安全措施在减少潜在损失方面的重要性。

事件发生后，MagicBlock 承诺将继续与区块链集成商、审计机构及独立安全研究人员合作，提升其 SDK 产品的抗风险能力，并支持更广泛的生态系统在未来缓解此类漏洞。

事件概览

平台：Flash Trade
攻击日期：2026 年 7 月 22 日
受影响资产：USDC
损失金额：98,000 美元
用户资金是否覆盖：是（全额覆盖）