據WoofunAI消息，加密行業在短短數日內遭遇連環安全衝擊，馬赫在ForesightNews撰文指出，8月20日KeetaNetwork主網被迫只讀、8月22日TheSandbox遭遇跨鏈假幣攻擊、8月23日TermFinance金庫資金被惡意治理轉走，三起獨立事件集中爆發，直指權限管理與治理監控的核心風險。

KeetaNetwork作為支付型公鏈，其聯合創始人兼CEOTy(X賬號@schenkty)在8月20日披露，安全事件根源已鎖定，問題侷限於單一組件，未波及錨定系統與外部連接，部署在Base上的KTA代幣亦未受影響。為阻斷風險蔓延，主網被緊急切換至只讀狀態，待補丁測試完成並增加額外保障後方可恢復運行。團隊承諾評估全額補償方案，並指出戰略儲備足以覆蓋潛在損失。

儘管官方未公布審計後的被盜總額，但鏈上監測顯示，一個新地址通過跨鏈橋接收了約930萬枚KTA(當時價值約68.5萬美元)及20億枚GALA，隨後將這些資產兌換為約1902枚ETH(價值約364萬美元)。市場反應劇烈，KTA價格在8月19日從最高0.09美元暴跌至最低0.05美元，跌幅達37%，目前雖回升至0.077美元，但信心受損明顯。

8月22日，Ty再次聲明調查取得實質性進展，已收集包括攻擊相關IP、所用VPN與VPS、用戶代理、技術環境、關聯郵箱及基礎設施服務商在內的證據，並提交有關方面。官方發出最後通牒，要求攻擊者在72小時內將全部所得以KTA、ETH或USDC形式歸還至指定Base地址，若全額歸還可討論漏洞賞金並免除法律責任，逾期則保留法律追責權利。截至8月24日，主網仍處於只讀狀態，補償細則未出，72小時窗口是否兌付尚不明朗。

這一案例表明，當應用鏈的權限設定默認寬鬆或可被組合繞過時，停鏈往往比打補丁更快，而公開鏈下線索並設歸還期限的做法雖罕見，但其有效性最終取決於資金迴流與鏈上數據的匹配程度。

TheSandbox的攻擊則聚焦於跨鏈鑄造機制的缺陷。8月22日，部署在Base上的SAND跨鏈合約遭襲，攻擊者利用approveAndCall函數奪走LayerZero的代表權限，在未向以太坊主網抵押的情況下持續鑄造SAND，並波及BNBChain。

值得注意的是，LayerZero協議核心層並未被攻破，漏洞源於項目方合約對委託權限的管理失誤。項目方迅速切斷與Base、BNBChain的雙向橋接，以遏制損失擴大。名義上，攻擊者增發了約149億枚SAND，現貨名義敞口高達數億美元，但鏈上覆盤顯示，真正從以太坊儲備中抽走並變現的資產僅為約1475萬枚SAND和約80枚ETH，摺合約67萬美元。以太坊與Polygon上的SAND、用戶錢包及主網抵押均未受波及。

SAND跨鏈採用LayerZero的OFT標準，對端鑄造本應對應主網鎖定，節點代表決定誰能在目標鏈mint，但approveAndCall被濫用導致僞造的跨鏈鑄造生效。官方稱漏洞已控制，影響不到總供應量的0.01%，並警告投資者避免在Base、BSC上交易SAND。交易所Upbit、Bithumb已暫停存提服務。截至發稿，SAND幣價從0.05美元跌至0.045美元。

WoofunAI整理數據顯示，儘管名義增髮量驚人，但實際被抽走的儲備僅約67萬美元，爭議焦點將轉向LP快照如何補償受損流動性提供者。

TermFinance的案例則揭示了治理機制的致命弱點。作為以太坊上的固定利率借貸協議，TermFinance在8月23日執行了一項已在鏈上公示約六天的治理提案，該提案在投票頁面獲得零否決票。提案內容包括關閉原先約7天的交易冷卻(timelock)，隨後從ETHMetaVault轉出約2842枚WETH。約20分鐘後，第二筆交易從五個USDC金庫轉出約168萬枚USDC，並換成DAI。PeckShield統計顯示，攻擊者共取走約2843枚ETH(當時價值約690萬美元)及168萬枚USDC，總損失約850萬美元。

此次攻擊並非智能合約重入或預言機操縱，而是嚴格遵循了"提交—等待—無人否決—執行"的治理流程。外部分析指出，攻擊者在治理代幣流通偏稀的情況下，獲得了部分USDC策略金庫近乎全部的投票權，以及對ETHMetaVault約九成的控制權，從而將資金轉出包裝為有效治理。TermLabs表示，所有TermMetaVaults已被關閉，DAO治理角色被撤銷，此次關閉不可逆轉，並永久禁止進一步存款，但提款仍可進行。官方稱底層Term協議及其直接借貸市場未受影響，正與外部安全團隊協調補救。

這一事件與今年7月BonkDAO金庫遭惡意治理提案攻擊、價值約2000萬美元的BONK代幣被盜的案例如出一轍，攻擊者均通過CEX錢包購買代幣操控投票，按治理流程"公開"轉走鉅額資金，凸顯了票權集中與投票參與低下的治理風險。

三起事件雖攻擊路徑各異，但共性顯著：Keeta停的是整條主網，組件權限最先關閉，後續纔是補償與72小時追索;TheSandbox斷的是橋，紙面增髮量雖離譜，但能兌走的儲備僅約60多萬美元，爭議落在LP快照補償;TermFinance的提案晾了六天，否決票為零，冷卻期被同一提案關閉，約850萬美元按治理流程轉走。這些案例共同指向一個核心問題：在鏈上世界中，敘事的熱度遠不如權限與治理的嚴謹性重要。誰能鑄幣、誰能改參數、提案掛在鏈上時是否有足夠關注，纔是決定資產安全的關鍵。隨着黑客手段日益專業化，從權限漏洞到治理操縱，攻擊者正利用協議設計的盲區進行精準打擊。未來，項目方需加強對鑄幣權、參數修改權限及治理提案的實時監控，避免重蹈覆轍。這不僅是技術層面的挑戰，更是社區治理與安全意識的全面考驗。