Arkadiko 財務漏洞：一個 DAO 治理攻擊如何耗盡 109 萬美元？

在2026年10月22日，Arkadiko Finance的漏洞揭示了去中心化治理中的一個嚴重弱點，當時攻擊者操縱了一個 DAO投票來獲取對關鍵協議功能的控制權。

這一事件導致約109萬美元的損失，stSTX和sBTC的擔保品被盜，並且USDA穩定幣的價值急劇崩潰。與傳統的智能合約黑客攻擊不同，攻擊者利用Arkadiko的合法治理過程來授權惡意代碼。

我們將研究攻擊是如何發生的，為何現有的安全措施失效，以及該事件對DeFi安全和恢復的意義。

主要結論

• Arkadiko Finance的漏洞發生在2026年10月22日，當時攻擊者利用提案12授權了一個惡意合約，並抽取了約109萬美元的資產。
• 攻擊者控制了457萬DIKO的治理投票，提取了stSTX和sBTC的擔保品，並鑄造了大約15億個無抵押的USDA代幣，觸發了穩定幣脫鉤。
• 隨後，Arkadiko禁用了該惡意合約，補充了受影響的金庫擔保品，並恢復了合法的金庫操作，但這些措施並未實現完全的財務恢復或恢復USDA的掛鉤。

Arkadiko Finance漏洞中發生了什麼？

（圖片來源：bitquery.com）

Arkadiko的加密黑客攻擊是針對Arkadiko Finance的治理接管，這是一個在Stacks運行的去中心化借貸和穩定幣協議，與比特幣相連的區塊鏈網絡。

Arkadiko允許用戶將加密貨幣存入擔保金庫，並借入USDA，這是一個與美元掛鉤的穩定幣。其DIKO代幣提供了治理權利，允許持有者批准修改協議操作的提案。

在2026年10月22日，攻擊者利用這一決策系統，通過通過提案12，推出了一個惡意的金庫操作合約。經批准的合約包含能夠轉移擔保品和 鑄造USDA的功能，而無需適當的調用者授權。

Bitquery和BlockintAI的區塊鏈調查將事件識別為治理攻擊，而非Stacks區塊鏈共識的妥協。攻擊者不需要盜取管理員的私鑰。相反，治理機制本身授予了惡意合約對敏感協議操作的權限。

Arkadiko治理攻擊是如何運作的？

Arkadiko的治理漏洞在幾天內發展而成，始於一個看似合法的協議升級提案，以快速提取擔保品結束。

1. 提交了一個惡意提案

在2026年10月17日，一個由攻擊者控制的錢包提交了提案12，標題為"AIP 32 - 更新金庫的操作以進行獎勵分配。"該提案似乎描述了一項對獎勵分配的例行改進。

然而，隨附的合約名為 arkadiko-vaults-operations-v2-1, 引入了能夠移動金庫擔保品和在沒有適當訪問限制的情況下創建USDA的功能。該提案尋求將該合約註冊為Arkadiko的授權金庫操作組件。

2. 攻擊者獲得了DIKO投票權

Arkadiko的治理規則要求充分的DIKO參與才能批准一個提案。根據鏈上調查，攻擊者積累了約4573197個DIKO，包括在投票前不久購買的約339萬DIKO。

Bitquery估計，購買投票代幣的成本約為51,000美元。攻擊者在10月22日進行了投票。未記錄任何反對票，這使得該提案滿足所需的批准條件。

3. 提案12授予金庫控制權

在2026年10月22日UTC時間約16:04，該提案被執行。治理過程將惡意合約註冊為授權的金庫操作組件。

至關重要的是，系統沒有在成功執行治理和合約獲得新權限之間施加額外的等待時間。這意味著攻擊者可以立即使用通過DAO投票批准的功能。

4. 攻擊者抽取了擔保品並鑄造USDA

在執行幾分鐘內，攻擊者利用惡意合約提取了擔保品並鑄造了無抵押的USDA。鏈上調查識別出從金庫池中提取了約207萬stSTX和1.65個sBTC。

攻擊者還通過未經授權的發行鑄造了大約15億USDA。部分新創建的代幣被兌換為其他資產，從Arkadiko的流動性池中提取額外價值。

5. 被盜資產在多個網絡間轉移

在漏洞之後，攻擊者通過多個區塊鏈網絡轉換和轉移資產。Bitquery追蹤了涉及STX、比特幣、USDCx、以太坊和Tornado Cash的相關轉移。

其調查識別出約4.86 BTC轉移到比特幣網絡，約213.3 ETH隨後被存入Tornado Cash。這些交易表明，跨鏈轉移和資產轉換如何使追蹤和恢復被盜加密貨幣的努力變得複雜。

在Arkadiko黑客攻擊中損失了多少？

Bitquery估計，Arkadiko Finance的漏洞造成約109萬美元的損失，以事件周圍的資產估值測量。估計損失分布在擔保品提取和流動池交易中。

攻擊者還鑄造了約15億USDA，但這一數字不應被解釋為15億美元的被盜資金。大部分未經授權的USDA供應隨後在其可以流通之前被燒毀。

經濟損失計算實際上包括所收取的抵押品和通過交換提取的資產。一個更廣泛的116萬美元的估計出現在一些調查中，包括相關的StackSwap事件，這必須與Arkadiko的直接損失區分開。

為什麼USDA失去了其美元掛鉤？

USDA失去美元掛鉤是因為此次攻擊損害了其抵押品支持和對其贖回機制的信心。USDA的設計旨在通過有抵押貸款和贖回獎勵來維持接近1美元的價值。

在正常情況下，用戶可以通過該協議的贖回機制用抵押品價值交換USDA，幫助修正市場偏差。治理攻擊以兩種方式擾亂了這種關係。

首先，攻擊者從保險庫系統中移除了大量抵押品。其次，未經授權的USDA發行增加了潛在競爭可用流動性的代幣數量。攻擊者出售了一部分新鑄造的USDA，進一步加大了賣壓。

Bitquery報導稱，部分與攻擊者相關的USDA銷售在事件期間以約0.13美元每個代幣的價格進行。儘管Arkadiko後來銷毀了超過99%的未經授權發行，但銷毀代幣並不自動歸還被盜抵押品或恢復正常贖回功能。

因此，USDA價格崩潰反映了一種潛在的信心和抵押品危機，而不僅僅是普通的加密貨幣波動。

Arkadiko Finance恢復計劃和保險庫控制恢復

（圖片來源：daemontechnologies.co）

Arkadiko的初步反應重點在於停止進一步未經授權的活動並解決抵押品短缺。在攻擊之後，團隊報告稱禁用了惡意合約, 暫停治理，並暫停贖回和清算。

該協議還報告稱已聯繫交易所有關潛在被盜資金並追求執法協助。

抵押品補充和保險庫訪問

在10月25日的更新中，Arkadiko表示已向受影響的保險庫合約存入了額外的抵押品。根據該更新，保險庫擁有足夠的抵押品用於提取，用戶可以償還未償還的債務。

然而，USDA的贖回仍然處於暫停狀態，團隊報告稱當時USDA的交易接近0.30美元。這一區別很重要，因為使用協議資源補充保險庫抵押品並不一定意味著攻擊者歸還了被盜資產。

提案14恢復合法保險庫操作

在2026年10月27日，Arkadiko治理執行了提案14，標題為「AIP 32.2 - 恢復保險庫操作。」該提案恢復了合法的arkadiko-vaults-operations-v1-3合約作為授權的保險庫操作組件。

這一治理決定撤消了通過提案12引入的惡意合約註冊。然而，恢復合約控制並不獨立證明USDA已經重新獲得其掛鉤，或者每個受影響的參與者都已獲得賠償。

截至11月3日，公開審查的信息並未確立被盜資產的完全恢復或USDA贖回的完全正常化。

Arkadiko安全模塊能否覆蓋損失？

Arkadiko的文檔描述了一個安全模塊，旨在提供對協議壞賬的有限保護。根據其記錄的設計，最多30%的在模塊中質押的DIKO代幣可被用於通過治理批准的行動來補償合格的損失。

然而，這一機制的存在並不保證補償。它是否可以啟用、能提供多少價值以及治理是否會批准其在此次事件中的使用需要單獨的確認。

此次攻擊是如何影響Arkadiko的TVL和Stacks生態系統的？

此次攻擊導致Arkadiko的總鎖倉價值（TVL）戲劇性下降，擁有的資產衡量在一個DeFi協議的智能合約中。根據DefiLlama的歷史數據，Arkadiko的TVL從10月22日的約143萬美元下降到10月23日的141,585美元，代表著大約90%的下降。

截至10月25日，跟踪的價值已降至約131,714美元。儘管隨後的抵押品補充增加了報告的TVL，但這些變化本身並未顯示用戶信心或協議功能的完全恢復。

Arkadiko與StackSwap之間的聯繫

調查人員還確定了對StackSwap的相關治理攻擊，這是一個在Stacks上運作的去中心化交易所。StackSwap事件發生在之前，攻擊者相關的錢包使用了一個欺騙性的升級提案來獲取對流動池操作的控制。

Bitquery估計來自兩個StackSwap治理接管的損失總計約70,500美元。一個接管通過錢包資金和資產轉移與隨後的Arkadiko攻擊相關聯。

調查人員未確定參與單獨StackSwap事件的每個錢包都屬於同一攻擊者。這些事件暴露了單個應用治理系統的弱點，而不是顯示基礎Stacks網絡的妥協。

Arkadiko的攻擊揭示了關於DAO治理安全的什麼？

Arkadiko Finance的攻擊展示了去中心化投票並不自動保證安全的決策。治理提案可以滿足技術投票要求，同時授權有害的智能合約行為。幾個弱點促成了這一事件：

• 集中化的投票權力： 一名攻擊者獲得了足夠的DIKO以無需有意義的反對便通過了一項重要提案。
• 有限的投票參與： 未有反對票在提案12執行前挑戰該提案。
• 合約保障措施不足： 所批准的合約包含缺乏適當調用者授權的功能。
• 沒有單獨的執行延遲： 攻擊者可以在提案執行後立即使用新授權的合約。
• 治理審查薄弱： 一項作為例行升級的提案引入了對資產管理和鑄造授權的高度敏感變更。

對於 DeFi 協議，可能的保護措施包括歷史投票權快照、時間鎖、獨立提案審查、受限合約授權，以及主動治理監控。

這些控制措施減少了特定的攻擊機會，但無法消除每一個潛在的脆弱性。對用戶而言，評估 DeFi 項目的安全性還意味著評估治理集中程度、升級程序、流動性狀況和事件響應能力，而不是僅僅依賴於智能合約審計。

結論

Arkadiko Finance 的利用事件說明了當治理權限約束不足時，合法的 DAO 投票系統如何成為攻擊向量。10 月 22 日的事件造成約 109 萬美元的損失，擾亂了 USDA 的美元掛鉤，並暴露了合約授權和治理參與的弱點。

Arkadiko 隨後的行動恢復了合法的保管控制並補充了受影響的抵押品，但合約恢復和財務恢復是兩個不同的結果。

在與 Arkadiko 或類似 DeFi 協議互動之前，用戶應驗證當前的贖回可用性、穩定幣流動性、治理保障和官方恢復公告。

對於有興趣監測加密貨幣市場的讀者，可以 探索 Bitrue 交易所, 同時有關額外的區塊鏈安全更新和教育資源可通過 Bitrue 博客獲得。

常見問題

Arkadiko Finance 的利用事件是由什麼造成的？

Arkadiko Finance 的利用事件是由攻擊者利用 DAO 治理授權一個惡意的保管操作合約造成的。提案 12 在攻擊者控制的 DIKO 投票下通過，並授予該合約訪問抵押品管理和 USDA 鑄造功能的權限。

從 Arkadiko 盜走了多少加密貨幣？

Bitquery 估計在 2026 年 10 月 22 日的事件中，約 109 萬美元的資產損失。受影響的資產包括通過涉及未授權 USDA 發行的交換獲得的 stSTX、sBTC 和 STX。

為什麼在 Arkadiko 被黑後 USDA 失去了其掛鉤？

USDA 在攻擊者抽走支援抵押品並鑄造大量無抵押代幣後失去了其掛鉤。隨之而來的賣壓、受損的贖回功能和對抵押品可用性的不確定性削弱了市場信心。

Arkadiko 的治理投票是否恢復了保管控制？

是的。在 2026 年 10 月 27 日，提案 14 恢復了 Arkadiko 的合法保管操作合約。然而，這一治理變更並未自己恢復被盜資產，也無法保證 USDA 的贖回和價格已恢復正常。

Arkadiko Finance 是否已從利用事件中完全恢復？

截至 2026 年 11 月 3 日，尚未獨立確定完全恢復。Arkadiko 報告補充了保管抵押品並恢復了合法合約控制，但被盜資產的完全恢復、USDA 掛鉤的恢復以及全面補償仍未解決或未經充分驗證。

免責聲明： 此處表達的觀點僅屬於作者本人，並不反映該平台的觀點。這個平台及其關聯公司對提供信息的準確性或適用性不承擔任何責任。此僅供參考，並不旨在作為財務或投資建議。