Moonwell 慘遭攻擊：178 萬美元的漏洞與 DeFi 圈的 AI 程式碼爭議

DeFi 借貸協議 Moonwell 在 Base 和 Optimism 上部署後，因 Coinbase Wrapped Staked ETH (cbETH) 的價格預言機出現錯誤，價值從大約 2,200 美元回報為大約 1.12 美元，導致約 178 萬美元的損失。這個事件不僅讓 Moonwell 遭受了重創，也引發了 DeFi 社群對於 AI 協作智能合約的激烈辯論。

事件始末：cbETH 定價失誤

根據 Moonwell 的事故驗屍報告，週日執行的一項治理提案錯誤地配置了 cbETH 預言機，僅使用 cbETH/ETH 的匯率，導致系統將 cbETH 報告為約 1.12 美元。清算機器人和投機借款人利用了這個錯誤的定價，造成大約 178 萬美元的壞帳。

AI 程式碼爭議：禍首是 AI 還是人為疏失？

受影響合約的 Pull Request 顯示，多個 Commit 是由 Anthropic 的 Claude Opus 4.6 共同撰寫的，這促使安全審計師 Pashov 公開指出，該事件是人工智慧編寫或 AI 輔助 Solidity 程式碼適得其反的例子。他指出，開發者使用 Claude 編寫程式碼，導致了漏洞的產生。然而，Pashov 也警告說，不要將此缺陷視為完全由 AI 驅動。他認為，這個預言機問題是「即使是資深的 Solidity 開發者也可能犯的錯誤」，真正的問題是缺乏足夠嚴格的檢查和端到端驗證。

他最初認為根本沒有進行測試或審計，但後來承認團隊表示他們在一個單獨的 Pull Request 中進行了單元測試和整合測試，並且委託了 Halborn 進行審計。他認為，這個錯誤的定價「可以通過整合測試來發現，一個與區塊鏈整合的適當測試」，但他拒絕直接批評其他安全公司。

影響與反思：DeFi 安全的警鐘

與 DeFi 中一些最大的事件相比，例如 2022 年 3 月的 Ronin 橋漏洞，攻擊者竊取了超過 6 億美元，或者其他九位數的橋和借貸協議駭客攻擊，這次漏洞的美元金額相對較小。但 Moonwell 事件引人注目的是 AI 協作、主要資產上看似基本的價格配置失敗，以及現有的審計和測試未能發現它。

Pashov 表示，他自己的公司不會從根本上改變其流程，但如果程式碼看起來是「憑感覺編碼的」，他的團隊會「更加睜大眼睛」，並預期會有更高密度的容易發現的問題，即使這個特定的預言機錯誤「並不容易」發現。

專家觀點：AI 的雙面刃

去中心化身份基礎設施提供商 cheqd 的聯合創始人兼 CEO Fraser Edwards 表示，圍繞憑感覺編碼的爭論掩蓋了 AI 使用方式的「兩種截然不同的解釋」。一方面，是一些非技術創始人提示 AI 生成他們無法獨立審查的程式碼；另一方面，是經驗豐富的開發人員使用 AI 來加速成熟工程流程中的重構、模式探索和測試。

他指出，AI 輔助開發「可能很有價值，尤其是在 MVP [最小可行產品] 階段」，但「不應被視為生產就緒基礎設施的捷徑」，尤其是在像 DeFi 這樣資本密集的系統中。Edwards 認為，所有 AI 生成的智能合約程式碼都應被視為不受信任的輸入，接受嚴格的版本控制、明確的程式碼所有權、多人同行評審和高級測試，尤其是在訪問控制、預言機和定價邏輯以及升級機制等高風險領域。

「最終，負責任的 AI 整合歸結為治理和紀律，」他說，具有明確的審查關卡、程式碼生成和驗證之間的分離，以及假設在對抗環境中部署的任何合約都可能包含潛在風險。

結論：擁抱 AI，但保持警惕

Moonwell 事件提醒我們，在 DeFi 領域使用 AI 既有潛力也有風險。AI 可以加速開發、提高效率，但也可能引入新的漏洞。因此，我們必須採取謹慎的方法，確保 AI 生成的程式碼經過嚴格的審查和測試，並且由經驗豐富的開發人員監督。只有這樣，我們才能充分利用 AI 的優勢，同時避免其潛在的陷阱。此外，對於「憑感覺編碼」的現象，開發團隊應該保持警惕，並加強程式碼審查，確保程式碼的品質和安全性。總之，DeFi 的未來需要 AI，但更需要負責和謹慎的態度。

重點整理

• Moonwell 因 cbETH 價格預言機錯誤遭受 178 萬美元的攻擊。
• AI 協作智能合約的安全性成為 DeFi 社群關注的焦點。
• 專家呼籲對 AI 生成的程式碼進行嚴格的審查和測試。
• 負責任的 AI 整合需要治理和紀律。