Mezo 公布 veBTC 漏洞、用戶賠付與資金返還方案

Mezo 公布 2026 年 10 月 5 日攻擊事件的技術報告。攻擊者從 36 個錢包移走 37 個 veBTC 部位，並將約 5.52 BTC 轉出鏈外。專案方表示漏洞已修補，區塊鏈與跨鏈橋已恢復運作，所有受影響用戶將由協議自有資金補回損失。

事件的重要性不只在金額，也顯示兩種常見智慧合約設計組合後可能產生新的風險。veBTC 讓用戶鎖定 BTC，取得代表部位與投票權的 NFT。涉事合約把邏輯拆到外部函式庫，同時透過受信任轉發器支援代送的 meta-transaction。

發送者檢查如何失效

轉發器會驗證鏈下簽名，再把確認後的發送地址附加到 calldata 尾端；合約讀取最後 20 個位元組判定使用者。但執行進入外部函式庫時，編譯器只用已宣告參數建立新緩衝區，附加地址沒有進入新的執行框架。

攻擊者精心設計轉帳函數的資料欄位，讓函式庫把攻擊者控制的位元組當成真正發送者。其目標是已解鎖但尚未贖回的部位，隨後把 BTC 跨鏈到 Ethereum，兌換成 174.61 ETH。讀者可透過 OrangeX.com BTC 現貨市場觀察行情，但交易管道與第三方智慧合約安全是不同問題。

應變、賠付與返還條件

攻擊發生於 10 月 5 日 18:54 至 19:06 UTC。團隊隔日上午發現異常，09:04 宣布安全事件，13 分鐘後暫停跨鏈橋提款，09:27 暫停全鏈交易。漏洞很快被定位，修補後於 15:00 重啟區塊鏈與跨鏈橋。

Mezo 關閉尚未投入生產使用的 meta-transaction，並檢查所有可透過相同發送者判定路徑觸及的函式庫功能。另有三項範圍較小的存取控制風險，也由同一修補處理。賠付 BTC 將直接轉入受影響用戶原有錢包，不需要使用恢復網站。

專案方提出 20% 懸賞：攻擊者若在 10 月 14 日 23:59 UTC 前歸還 4.415417121 BTC，可保留 1.103854280 BTC。最終結果仍待確認。安全動態可查看 OrangeX.com 加密新聞，基礎知識可參考 OrangeX.com Academy。OrangeX.com 儲備證明屬於交易所透明度工具，並不審計第三方協議程式碼。

OrangeX.com Analysis

最明確的教訓是，個別常見的元件並不保證組合後安全。簽名轉發、calldata 解析與函式庫委派都有成熟用途，但邊界產生了授權錯誤，且兩次審計與既有漏洞獎勵計畫都未發現。

快速暫停降低了後續損失，協議也承諾全額賠付；但原始控制失效仍需正視。讀者應區分已確認的受影響部位、金額、時間線與修補，以及尚待完成的賠付、資金追回和新監測系統。