DeFi 借貸平台 Moonwell 慘遭攻擊，178 萬美元不翼而飛

最近 DeFi 圈可不太平靜！一個名為 Moonwell 的去中心化借貸協議，在 Base 和 Optimism 鏈上都部署了服務，結果因為一個價格預言機的漏洞，被人狠狠地薅了一把羊毛，損失高達 178 萬美元！這次事件不僅讓 Moonwell 損失慘重，更再次引發了關於 AI 參與智能合約編寫的爭議。

事情是怎麼發生的？

簡單來說，這次的漏洞出在 Coinbase 的 Wrapped Staked ETH (cbETH) 的價格上。本來 cbETH 的價格應該接近 2200 美元，但因為 Moonwell 的系統錯誤地將 cbETH/ETH 的匯率單獨作為價格依據，導致 cbETH 的價格被錯誤地設定為 1.12 美元。這下可不得了，市場上的「聰明人」立刻發現了這個 Bug，紛紛利用這個錯誤的價格進行套利，導致 Moonwell 產生了 178 萬美元的壞帳。

AI 寫程式，真的沒問題嗎？

更耐人尋味的是，這次事件的相關合約的提交記錄顯示，其中有多個提交是由 Anthropic 的 Claude Opus 4.6 共同撰寫的。這讓區塊鏈安全審計員 Pashov 公開表示，這是一個 AI 參與智能合約編寫導致漏洞的典型案例。他認為，開發者使用 Claude 來編寫程式碼，最終導致了這次的漏洞。

專家怎麼看？

Pashov 雖然將這次事件與 AI 聯繫起來，但他同時也提醒大家，不要將這個漏洞完全歸咎於 AI。他認為，即使是經驗豐富的 Solidity 開發者，也可能犯同樣的錯誤。真正的问题在于缺乏充分严格的检查和端到端验证。

cheqd 的共同創辦人兼 CEO Fraser Edwards 也表示，關於 AI 編寫程式碼的爭論，實際上掩蓋了 AI 在開發中的兩種截然不同的應用方式。一種是非技術背景的創辦人，直接讓 AI 生成他們無法獨立審查的程式碼；另一種是經驗豐富的開發者，利用 AI 來加速重構、模式探索和在成熟的工程流程中進行測試。他認為，AI 輔助開發可能在 MVP (最小可行產品) 階段很有價值，但不應被視為生產級基礎設施的捷徑，尤其是在 DeFi 這種資本密集的系統中。

這次事件給我們的教訓

這次 Moonwell 的事件，雖然損失金額相較於其他 DeFi 駭客事件來說不算太大（例如 2022 年 Ronin 橋的 6 億美元損失），但它暴露了 DeFi 領域中一個非常重要的問題：在 AI 參與開發的同時，我們如何確保程式碼的安全性？

Edwards 建議，所有 AI 生成的智能合約程式碼都應該被視為不受信任的輸入，必須經過嚴格的版本控制、明確的程式碼所有權、多人同行評審和高級測試，尤其是在訪問控制、預言機和定價邏輯以及升級機制等高風險領域。

總而言之，負責任的 AI 整合歸根結底還是要靠完善的治理和嚴格的紀律，包括明確的審查關卡、程式碼生成和驗證之間的分離，以及假設在對抗環境中部署的任何合約都可能包含潛在風險。

AI 寫程式的爭議

隨著 AI 技術的快速發展，越來越多的開發者開始嘗試使用 AI 工具來輔助編寫程式碼。AI 可以幫助開發者更快地生成程式碼、檢測錯誤和提高效率。然而，AI 參與程式碼編寫也帶來了一些新的風險和挑戰。其中一個主要的爭議點是，AI 生成的程式碼是否足夠安全可靠？

「感覺良好」編碼 (Vibe Coding) 的風險

Pashov 提到了一個叫做「感覺良好」編碼 (Vibe Coding) 的概念。他認為，如果程式碼看起來像是「感覺良好」編碼，那麼他的團隊會更加警惕，並預期會發現更多潛在的問題。雖然這次 Moonwell 的漏洞並不容易被發現，但如果開發團隊在開發過程中更加謹慎，或許可以避免這次的損失。

如何應對 AI 帶來的風險？

那麼，我們應該如何應對 AI 參與程式碼編寫帶來的風險呢？以下是一些建議：

• 加強程式碼審查： 即使使用了 AI 工具，也必須對程式碼進行嚴格的審查，確保程式碼的正確性和安全性。
• 完善測試流程： 建立完善的測試流程，包括單元測試、整合測試和端到端測試，以檢測潛在的漏洞。
• 加強安全意識： 開發者需要加強安全意識，了解常見的漏洞類型，並採取相應的防禦措施。
• 持續監控和更新： 對已部署的合約進行持續的監控和更新，及時修復漏洞。

結論

Moonwell 的事件再次提醒我們，在享受 AI 技術帶來便利的同時，也要時刻保持警惕，加強安全意識，才能避免類似的悲劇再次發生。在區塊鏈和 DeFi 這個充滿風險的領域，安全永遠是第一位的！