资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Scroll 修复严重漏洞，防止攻击者通过桥接协议窃取资金
Scroll 团队宣布已修复一个可能导致攻击者通过其桥接协议盗取资金的严重漏洞。官方表示，该漏洞未被任何人利用。此次事件也标志着 Scroll 在移除独立安全委员会后，首次发布紧急修复补丁。
Scroll 合约中发现的漏洞详情
Scroll 发布了一项紧急修复措施，针对名为 ZkEvmVerifierPostFeynman 的合约中发现的漏洞。该合约负责验证证明，以确保 Scroll 能够向以太坊（ETH）提交新的状态。
根据 Scroll 在其治理论坛发布的事故分析报告，该合约手动构建了调用 OpenVM Halo2 验证器的逻辑，并使用用户提供的证明的前四个字节作为调用的标签（Label）。然而，OpenVM 的验证器中包含一个名为 verify 的函数，其标签为 0x24270d54。因此，如果某个证明以这四个字节开头，调用将直接指向 verify 函数，而非正常的执行路径。
该函数会从攻击者可控制的来源获取数值。攻击者可能利用此机制，将旧的、真实的证明伪装成新输入的证明。这将导致在以太坊上锁定虚假的状态根（State Root）和提款根（Withdraw Root）。
早期版本的合约是安全的，因为其验证器没有函数选择器，所有调用都会走正常路径。修复后的合约现在将所有调用统一引导至单一入口点，从而由合约本身设定关键细节，而非依赖证明数据。
Scroll 感谢道德黑客 ZHOUCHUNGONG 于 11 月 3 日报告了该漏洞，距离修复补丁发布仅一周时间。
Scroll 强调，无人有机会利用这一缺陷。要利用有缺陷的合约发起攻击，攻击者需要具备“许可预言机角色”权限，或触发“强制批处理模式”。后者仅在连续七天无最终确定结果时才会开启，而这种情况并未发生。
Scroll 重新检查了在缺陷合约运行期间产生的全部 748 次最终确定结果，并在以太坊主网的副本上重放了 233 次历史最终确定结果，确认它们均产生了相同的根哈希值，系统状态完好无损。
Scroll 以往的漏洞修复机制
过去，外部专家曾协助监督 Scroll 的紧急修复工作。例如，2025 年 5 月对 FRI 验证器的修复，以及 2026 年 2 月的验证器切换，均获得了 Scroll 安全委员会的批准。该委员会由 12 名成员组成，任何行动需至少 9 人同意方可执行。
2026 年 6 月 1 日，该安全委员会被撤销，取而代之的是由 Scroll 团队管理的 3-of-4 多签管理钱包。此举导致 Scroll 失去了 Stage 1 的去中心化评级，目前被列为 Stage 0。值得注意的是，该多签钱包可在无延迟的情况下升级核心合约，包括桥接合约。
早在今年 4 月，Scroll 便提出移除安全委员会的建议，理由是维护成本高于其价值。部分社区成员对此表示反对，质疑为何不保留一个规模较小的委员会，并询问未来网络行动的审批权归属。
2026 年 11 月 4 日，Scroll DAO 论坛上发布了一项提案。若获批准，该链将成为一个围绕人工智能构建的私有、仅限邀请制的网络。提案还指出，SCR 代币将重新迁回以太坊主网，持有者将使用其进行投票和质押。
值得注意的是，截至今年 4 月，Scroll 的总锁仓价值（TVL）已从 2024 年的约 6 亿美元缩水至约 2430 万美元。据本报告统计，TVL 进一步下降至约 660 万美元。
SCR 代币价格也已跌至约 0.018 美元，较 2024 年的高点下跌了近 99%。
