北京时间11月1日上午11点15分前后，Arbitrum期权协议Premia的六个金库，在两笔相隔1秒的交易里被提走了抵押品。Blockaid在攻击进行中估算约40.05万美元，The Defiant按链上净流出算约43.7万美元，PeckShield报约46.46万美元。三家数字对不上，只在计价时点不同，丢的东西本身没有争议。
Premia的金库是给期权做对手盘的地方。存户把币放进去，买方付权利金，金库承担到期兑付的义务。被提的六个金库，覆盖了WBTC、WETH和ARB的看涨与看跌方向。链上净流出是3.644枚WBTC、43.47枚WETH、48479枚USDC.e和46215枚ARB。
攻击步骤并不复杂。攻击者先建了六个空期权市场，里面本来什么都没有。接着用闪电贷借来一笔周转资金，拿这笔钱去买期权。金库按代码接了单，抵押品就跟着锁进了这些新市场。最后攻击者以流动性提供者身份把锁进去的抵押品提出来，闪电贷在同一笔交易里还掉。利润的来源就是存户的抵押品。整个过程没偷私钥，没改预言机价格，金库执行的全是代码允许的操作。
钱提出来之后，PeckShield追踪到它从Arbitrum跨到了以太坊，再经Chainflip和NEAR Intents换成了比特币。我翻了一圈，没看到项目方公开的完整事后报告，暂停、修复、赔付方案都还没有说法。在项目方说法出来之前，存过它家金库的人只能先去官方渠道核对自己的金库在不在这六个里面，金额和去向目前以安全公司追踪为准。
对散户的提醒很直接。存进这种金库的钱，性质是拿去给别人做对手盘的保证金，放在一个任何人都能新建市场来调用的合约里。审计名气和池子数字，都拦不住一个口子，那就是金库必须接陌生市场递过来的单。存之前值得看三样，金库接不接陌生人新建的市场，出了事有没有暂停开关，收益到底是权利金还是后来人的本金。别看这次只有40多万美元就觉得离自己远，机制本身不挑池子大小。
我的观点很明确，这种金库我不碰，除非项目方把陌生市场能不能调用金库写清楚、改明白。你们存过这种赚权利金的金库吗，存之前会先看合约允许谁来调用它吗？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，数据来源 Blockaid、PeckShield 与 The Defiant 的公开链上追踪，金额因计价时点不同而有差异，请自行判断风险。