Ai总结： 一名攻击者通过操控已废弃的StrongBlock链上治理系统，获得管理员权限并转移超40万枚代币，总价值约7.2万美元。事件凸显废弃协议治理机制仍存风险，非依赖代码漏洞，而是利用治理流程本身完成控制权接管。

废弃治理系统遭劫持：攻击者借合法流程夺取协议控制权

在StrongBlock协议被正式弃用后，一名攻击者通过积累治理代币并提交恶意提案，成功获取了其核心Governor合约的管理权限。该操作未触发任何智能合约漏洞，而是完全依照协议既定的治理流程完成，最终实现对协议控制权的非法接管。

通过合规治理路径实现权限转移

攻击者在协议进入废弃状态后，持续累积STRONG代币，凭借其持有的多数票数，提交了一项旨在变更待定管理员的治理提案。该提案经过投票、队列等待及执行阶段，全程符合协议规则，最终将管理权限移交至攻击者账户，整个过程无异常行为。

代理合约被替换为任意调用工具

获得控制权后，攻击者将Governor代理升级至一个极简且未经验证的新实现合约。该合约仅包含一个受控的forward函数，允许攻击者的外部账户以协议管理员身份发起任意合约调用，实质上将治理合约转化为资金转移的授权通道。

逾40万枚代币从协议池中被批量提取

利用新实现合约赋予的权限，攻击者执行了从协议资产池中提取资金的操作，共移出32,695枚STRONG与383,447枚STRNGR代币，总价值约为7.2万美元。此次资产流失并非源于协议逻辑缺陷，而是由治理权限被滥用所致。

攻击路径区别于传统漏洞利用模式

近期多起安全事件显示，攻击者正转向基础设施和治理层面的薄弱环节。例如，Ostium事件中攻击者操纵链下价格报告，而非突破合约代码；Coldcard钱包问题则源于固件中伪随机数生成器错误，导致私钥熵值下降。这些案例表明，攻击焦点已从代码漏洞扩展至信任链中的可信组件。

比特币生态安全审查范围扩大至全栈项目

Coldcard事件引发对整个比特币软件生态的深度审查。比特币红队团队已完成对390个开源项目的AI辅助与人工检测，发现4,962个潜在风险，其中720个被标记为高危或严重。约21.4%的问题已复现并私下通报开发者，相关支持由OpenSats和Kimi Moonshot提供计算资源与模型访问。

废弃治理系统仍具潜在威胁

与依赖预言机、基础设施或密码学缺陷的攻击不同，本次事件的核心在于治理流程本身的可被利用性。即使开发活动已终止，只要治理系统仍在线，攻击者便可通过合法路径获取控制权，并通过合约升级将治理权转化为资金转移能力，揭示出废弃协议仍可能构成持续威胁。