Pennysia 部署在以太坊上的 Settlement 结算合约（地址前缀 0x3aad97e5a91b8e43b7dc830）在 2026 年 11 月中旬前后被安全机构指认卷入一场授权滥用型链上攻击：合约本身存在任意外部调用漏洞，攻击者无需拿到用户私钥，就可以通过这一入口调用用户此前授予合约的代币授权额度，将仍然残留在授权中的资产从用户地址直接转移出去。已有用户在资产异常转出后向慢雾报案，慢雾随即对相关地址、交易与合约行为展开链上调查，确认 Settlement 合约的任意外部调用被攻击者利用，用户停用合约但未撤销的授权成了对方反复“提款”的通道。目前公开材料尚未披露具体被盗金额和受影响用户数量，但慢雾已发布安全预警，将事件定性为典型的授权滥用型攻击，并明确提醒所有曾向该 Settlement 合约授权代币的用户立即撤销相关授权，以降低更多资产继续被转出的风险。
慢雾接警到预警：链上还原攻击路径
用户在 11 月中旬前后陆续发现资产异常，从交易记录追溯到一条与 Pennysia Settlement 结算合约相关的转账路径后，将“被盗”线索报给慢雾。慢雾随即启动应急调查流程，对报案地址近期所有出入金交易进行逐笔排查，并把重点锁定在用户与特定合约之间的交互历史上。随着更多报案样本被纳入分析，一个地址前缀为 0x3aad97e5a91b8e43b7dc830 的合约反复出现在关键交易中，被多条公开材料指认为本次事件的核心对象。
在此基础上，慢雾继续沿着链上调用栈反推攻击路径，确认攻击者正是借助该 Settlement 合约中存在的任意外部调用漏洞，绕过正常业务逻辑，直接调用用户此前授予但未用完或未撤销的代币授权额度，将资产从用户地址转出。由于授权本身仍然有效，攻击者无需触碰私钥，就能多次从这些“残留授权”中提款。完成技术复盘后，慢雾发布安全预警，将事件定性为授权滥用型攻击，并明确提醒所有曾向上述 Settlement 合约授权代币的用户立即撤销相关授权，以在更多细节尚待披露的情况下先行切断这一潜在长期风险通道。
结算合约为何变成提款机：任意外部调用解释
要理解 Settlement 合约为何会摇身一变成“提款机”，关键在于它内部埋着的“任意外部调用”能力。按设计，这类结算合约应该只在限定场景下，与特定协议或代币合约交互；但在 Pennysia 的实现中，合约被允许在缺乏充分限制的情况下向外部合约发起调用，相当于在系统里留了一扇几乎不设防的侧门。攻击者只要精确构造调用数据，就能让 Settlement 合约替自己去调用任何目标合约的接口，其中最致命的就是直接去触发用户事先授予 Settlement 的 token approvals，将那些“我允许你花我的钱”的授权额度，转化成一笔笔真实的代币转账。
这也是为什么慢雾强调，本次事件并非传统意义上的“私钥泄露”：攻击者没有突破用户钱包的密钥防线，而是借助 Settlement 合约已经掌握的权限，在链上正大光明地执行代币划转。授权本身完全合法，只是被错误暴露给了一个拥有任意外部调用能力的合约，这使得攻击路径更接近于“权限设计失误”而不是“密钥被盗”。与常见的 DeFi 风险相比，例如通过闪电贷叠加价格预言机偏差来操纵资产定价，或利用重入漏洞反复提走资金，Pennysia 这次更典型的是“授权滥用型”攻击：攻击者不需要改写市场规则，只要找到那扇可以随意对外喊话的合约侧门，再把用户长期未撤销的授权额度一一兑现成可转移的资产。
残留授权成风险通道：哪些用户处在风险中
在这起被归类为“授权滥用型”的攻击中，真正处在直接风险里的，并不是所有链上用户，而是一个相对明确的群体：曾经向 Pennysia 在以太坊部署的 Settlement 结算合约（地址前缀为 0x3aad97e5a91b8e43b7dc830）授权过代币、却迟迟没有撤销授权的人。慢雾在安全预警里专门点名这一类用户，提醒他们尽快撤销与该合约相关的授权额度，这一指向本身就说明，目前的暴露面主要集中在“授权未清理”的地址上。只要授权仍在链上存在，攻击者就可以继续沿着这条权限通道去调用用户的代币余额，而不需要和用户有任何新的交互。
所谓“残留授权”，指的是用户在链上通过标准接口给某个合约设定了代币可用额度，这个额度既没有被正常业务完全消耗掉，也没有在交易完成后主动撤销，从而长期挂在链上。用户哪怕早已停止使用该合约，甚至忘记自己曾与之交互，这份授权依旧是有效的权限凭证——一旦合约本身存在任意外部调用漏洞或被攻击者接管，具有调用能力的一方就可以利用这份历史授权发起代币转移。与之形成对比的是，从未对该 Settlement 合约进行代币授权的用户地址，在当前这一特定漏洞场景下不具备同样的直接暴露面，这也是本次事件再次凸显“用完即撤销授权”这一基本安全习惯的重要原因，尤其是面对功能单一但权限极集中的结算或路由类合约时更不应忽视这道基础防线。
Pennysia事件折射的DeFi授权困局
Pennysia Settlement 合约这次被利用，本质上不是一场“偶发漏洞”的孤立事故，而是一次典型的授权模式失控的集中呈现。在 DeFi 场景中，用户为了减少每次交互的摩擦，习惯性地给合约开放较大甚至“无限额度”的代币授权，这些授权一旦长期残留在地址上，就在链上悄悄堆叠出一层层看不见的风险敞口。据 AiCoin 数据显示，被指认为受攻击对象的 Settlement 合约地址前缀 0x3aad97e5a91b8e43b7dc830，正是依托这类历史授权，被攻击者通过任意外部调用漏洞直接调度用户资产，而从未对该合约授权的地址则在本轮攻击路径中暂时处于相对安全区，这一点将授权滥用的结构性问题暴露得极为鲜明。
在安全机构的复盘中，Pennysia Settlement 合约已被明确归类为可被利用的授权滥用风险例证，与过去多起同类事件延续着同一条攻击思路：不是去夺取私钥，而是借助权限控制缺陷撬动用户早已签署的授信。对项目方而言，结算、路由等核心合约往往握有用户“最大额度”的操作权，却长期处于权限设计与安全审计双重压力之下，如果缺乏权限最小化、调用范围隔离等基础设计，这类核心合约一旦出现漏洞，就会把多年累积的授权集中转化为系统性风险。Pennysia 事件再次提醒行业，授权习惯与合约权限设计共同构成了 DeFi 安全的底层结构，任何一端的疏忽都足以演变为整个生态必须严肃面对的链上安全问题。
这次攻击后仍需盯紧的信号
在 Pennysia Settlement 合约这起授权滥用型攻击之后，首先要划清已确认信息的边界：截至 2026 年 11 月 13 日，公开材料并未披露具体被盗金额与受害用户数量，各种在社交平台流传的“损失规模”说法都缺乏多源核实，只能视为未经证实的传闻，不能据此推演更大的风险结论。已被确认的是，攻击者利用以太坊上前缀为 0x3aad97e5a91b8e43b7dc830 的 Settlement 结算合约中的任意外部调用漏洞，调用用户此前授予但未撤销的代币授权额度完成资产转移，慢雾据此发布安全预警，明确建议所有曾向该合约授权代币的用户撤销授权，以防止残留授权继续被当作提款口。接下来值得持续观察的信号，一是链上是否出现更多与该合约相关的被盗报告，二是项目方是否公开更详尽的技术复盘并采取合约升级或停用等处置措施（目前均为待验证方向），这些动向将决定风险能否被有效封堵。对普通用户而言，这次事件最直接的实践性提醒，是要把“授权管理”升级为长期习惯：定期检查自己在各类合约上的代币授权，减少长期与高风险或已不再使用合约之间的多余授权额度，在完成交互后及时撤销不必要授权，把残留授权从潜在的系统性风险通道变回可控、可审计的个人安全边界。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到[email protected]，本平台相关工作人员将会进行核查。
