2025 年 4 月 15 日，去中心化永续合约交易平台 KiloEx 遭遇黑客攻击，造成约 844 万美元的损失。事件发生后，慢雾(SlowMist) 第一时间介入分析，并发布安全提醒。幸运的是，在项目方的积极应对和慢雾(SlowMist) 等多方协作下，历时 3.5 天，最终成功追回了全部被盗资产，事件得以圆满解决。

(https://x.com/SlowMist_Team/status/1911991384254402737)

事件回顾

漏洞原因分析

据 KiloEx 的分析报告，此次攻击源于合约权限验证机制的缺陷。TrustedForwarder 合约继承了 OpenZeppelin 的 MinimalForwarderUpgradeable 合约，其中 execute 方法没有在 TrustedForwarder 进行 override，是一个不需要权限就可以访问的方法。

攻击者利用这一漏洞，直接调用 OpenZeppelin 的 MinimalForwarderUpgradeable 原始 execute 方法。execute 方法的请求内容是调用 delegateExecutePositions 这个 function，在 delegateExecutePositions 方法中只验证了 msg.sender == trustedForwarder，并没有验证真正的发起者是否是 keeper，从而攻击者绕开了权限验证，攻击者在一笔交易中首先使用极低的价格开仓，再以较高的价格的平仓，从而完成攻击。

攻击时间线

此次攻击链上痕迹清晰，关键时间节点如下：

• Apr-13-2025 23:31:59 UTC
  

  黑客地址 0x00faC92881556A90FdB19eAe9F23640B95B4bcBd 从 Tornado Cash 提款 1 ETH 作为启动资金。

(https://etherscan.io/tx/0xa0fa4ab8ded0c07085d244e1981919b440f78b609e1cf8d7f8ee32d358dfdf46)

• Apr-13-2025 23:39:11 ～ Apr-14-2025 01:21:36 UTC
  

  黑客使用多个 DeFi Protocol 和 Bridge 将从 Tornado Cash 提款的 ETH 拆分转移到 opBNB、Base、BSC、Taiko、B2、Manta 链，作为后续部署攻击合约的 Gas fee。

(https://dashboard.misttrack.io/address/ETH/0x00faC92881556A90FdB19eAe9F23640B95B4bcBd)

• Apr-14-2025 18:27:43 ～ 19:36:49 UTC
  

  黑客在 opBNB、Base、BSC、Taiko、B2、Manta 链部署攻击合约。

  
  

(https://opbnbscan.com/tx/0x657ab20a838043e36ab372a122804e07dbeca522b989899e27dee54b4c3f2971)

• Apr-14-2025 18:52:27 ～ 19:40:49 UTC
  

  黑客在 opBNB、Base、BSC、Taiko、B2、Manta 链调用攻击合约发起攻击。

(https://opbnbscan.com/tx/0x79eb28ae21698733048e2dae9f9fe3d913396dc9d93a0e30d659df6065127964)

应急响应

事件发生后，依托于慢雾(SlowMist) 的安全应急响应服务，慢雾(SlowMist) 第一时间组织安全应急小组，联合 KiloEx 梳理攻击路径和资金流向，并依托自研的链上反洗钱追踪分析平台 MistTrack(https://misttrack.io/) 与 InMist 威胁情报网络，完成对攻击者信息和特征的画像提取。

与此同时，慢雾(SlowMist) 作为主力协助 KiloEx 完成了对攻击事件的链上行为全面复盘，厘清漏洞原理，以及协助 KiloEx 与攻击者展开多轮谈判，推动达成资金归还方案。

(https://etherscan.io/idm?addresses=0x00fac92881556a90fdb19eae9f23640b95b4bcbd%2C0x1D568fc08a1d3978985bc3e896A22abD1222ABcF%2C&type=1)

在慢雾(SlowMist) 和多方的协同下，KiloEx 最终与黑客达成 10% 白帽赏金协议。黑客随后陆续将全部被盗资产退回至 KiloEx 官方 Safe 多签钱包，涉及地址如下：

• opBNB: 0xb1a95732ed3c75f7b1dc594a357f7a957e9baad2

• BNB、Base、ETH、Arbitrum: 0xd38a22f5330f45162f13086d6ccbde0335c1ae9e

• Manta: 0x0f9c71f888c1d263eab34d6d9360a3a45855365d

退还币种除原有 USDT、USDC 外，还包括攻击期间黑客转换得到的 ETH、BNB、WBTC、DAI 等资产。

(https://t.me/misttrack_alert)

KiloEx 团队特别感谢了慢雾(SlowMist) 在本次事件中提供的帮助。

(https://x.com/KiloEx_perp/status/1913168299292328115)

Binance 创始人 CZ 也在第一时间转发相关推文，并表示：“很高兴看到业界和 @BNBChain 生态系统紧密合作。”

(https://x.com/cz_binance/status/1913234751319859231)

安全加固

事件结束后，KiloEx 也寻求慢雾(SlowMist) 启动安全审计，慢雾(SlowMist) 为 KiloEx 制定了两套审计方案：其一是在平台重新上线前，完成为期约 45 天的全面安全审计，确保各环节安全无虞；其二则是优先对协议权限进行全面检查，防止类似攻击再次发生。KiloEx 将根据初步权限审计结果，视情况安排平台重新上线。在权限问题修复后，慢雾(SlowMist) 再对 KiloEx 的整体逻辑和经济模型进行深入审计，时长预计短于 45 天。最终，KiloEx 综合考虑社区反馈与上线时间，选择了第二种方案，即“先权限审计、后全面审计”。

(https://x.com/KiloEx_perp/status/1913542713825480863)

总结

从安全事件的快速响应，到全额资金追回，再到后续的审计与防护升级，KiloEx 与慢雾(SlowMist) 的联合应急，充分展现了安全团队与项目方协作的重要性。本次事件也提醒所有 Web3 项目，安全不应止步于上线前的审计，事中监控与事后应急同样重要。

安全从来不是上线后的补丁，而是 Web3 项目全生命周期中不可缺失的核心环节。慢雾(SlowMist) 也将继续与更多项目携手，构建事前防护、事中监测、事后应急响应的安全闭环，共同守护用户资产安全，推动行业健康发展。

最后，关于 KiloEx 安全事件的更详细分析，可参考 KiloEx 官方的事故分析报告：https://medium.com/@KiloEx/kiloex-security-incident-root-cause-analysis-post-mortem-3d899caac08c。