DeFi 的隱形地雷：被遺忘的「殭屍合約」正成為駭客提款機

去中心化金融（DeFi）協議在進行產品迭代時，往往只關注新功能的上線，卻忽略了舊合約的「善後」。近期 Raydium AMM V3 的漏洞攻擊事件，揭露了一個被產業長期忽視的資安隱憂：那些早已不在用戶介面（UI）或軟體開發套件（SDK）支援範圍內，卻依然在鏈上保持「可調用」狀態的殭屍合約（Zombie contracts）。

被遺忘的舊合約，成了駭客的攻擊面

Raydium 的案例中，駭客利用了五個已棄用的流動性池進行攻擊，竊取約 134 萬美元。這些合約雖已脫離 Raydium 的官方產品路徑，但由於鏈上功能並未被徹底關閉，駭客得以繞過比例控制，利用偽造的 LP 代幣進行提款。這顯示出一個嚴重的生命週期管理失敗：「產品層面的棄用」並不等於「技術層面的停用」。

根據統計，自 2025 年 3 月以來，至少有 8 起明確針對棄用或過時 DeFi 合約的攻擊，累計損失約 1,080 萬美元；若將範圍擴大至舊版金庫與產品失敗，相關事件則達 10 起，總損失高達 2,250 萬美元。

殭屍合約的攻擊軌跡

這類攻擊模式在過去一年頻繁出現，且受害者不乏知名協議：

• 1inch (2025年3月)：因過時的 Fusion v1 解析器合約遭利用，損失約 500 萬美元。
• Abracadabra (2025年10月)：棄用的 Cauldron V4 合約因邏輯漏洞，遭竊 180 萬美元。
• Yearn (2025年12月)：舊版 iEarn TUSD 金庫被清空，損失約 30 萬美元。
• Transit Finance (2026年5月)：遭攻擊者利用 2022 年代的舊版 TRON 合約，損失 188 萬美元。
• Huma Finance (2026年5月)：舊版 V1 BaseCreditPool 在 Polygon 上遭利用，損失約 10.1 萬美元。
• Scallop (2026年)：因棄用的獎勵合約存在漏洞，損失約 14 萬美元。

這些協議在事後皆聲稱「當前用戶不受影響」，並由國庫承擔損失，但這也反映出產業內普遍將「合約下架」視為文件歸檔工作，而非資安防禦的一環。

將「停用」轉化為資安控制

現行的資安漏洞分類資料庫，多半聚焦於「駭客如何進入」或「程式碼哪裡出錯」，這種機制導向的分類方式，反而掩蓋了「合約本應被停用」這一核心問題。根據 2025 年的一份研究報告指出，高影響力的攻擊事件往往涉及生命週期與治理層面的失敗。

要消除這些隱形地雷，協議團隊必須建立標準化的合約除役流程（Decommissioning control）：

「DeFi 合約的除役應被視為一項安全控制，而非單純的文檔更新任務。」

具體的防禦措施應包含：
1. 清空閒置資產：將棄用池或金庫中的資金全數移出，消除駭客掃描這些合約的經濟誘因。
2. 暫停可調用功能：在技術上停用交換（Swap）、提款或管理員功能，讓「棄用」成為真正的安全狀態。
3. 驗證權限與邏輯：嚴格審查舊合約的驗證邏輯與權限設定，防止駭客利用過時的驗證機制進行攻擊。

若協議持續將除役視為事後補救，那麼每一份部署過的合約歷史，都將成為駭客隨時可搜尋的攻擊面。