慢雾预警：Pennysia以太坊Settlement合约遭攻击，残留授权资金面临被盗风险
2026年11月13日，慢雾发布安全预警称，Pennysia 部署在以太坊上的 Settlement 合约遭到攻击，攻击者利用任意外部调用漏洞，转移用户此前授权但尚未使用的代币，并提醒所有相关用户立即撤销授权。
事件时间线
- [11-13 07:00] 慢雾：Pennysia以太坊Settlement合约遭攻击，用户残留授权资金面临风险（Odaily 星球日报）
- [11-13 07:01] 慢雾：Pennysia以太坊Settlement合约遭攻击，用户残留授权资金面临风险（PANews）
背景与影响
2026年11月13日，慢雾（SlowMist）发布安全预警。据 Odaily 星球日报 07:00 与 PANews 07:01 的报道，慢雾在收到用户资金被盗报告后展开调查，认定 @PennysiaLabs 部署在以太坊上的 Settlement 合约遭到攻击。两份报道的核心事实一致：攻击者利用合约中的任意外部调用漏洞，转移了用户此前授权但尚未使用的代币。两家媒体的发布时间相隔约一分钟，标题与结论相同。
此次事件的直接风险点在于「残留授权」。用户与合约交互时通常会预设代币授权额度，实际使用后未消费的部分仍留在链上，一旦合约本身存在可被利用的调用逻辑，这部分额度即成为攻击目标。慢雾将漏洞定性为「任意外部调用」，并将受影响对象界定为「所有曾向该 Settlement 合约授权代币的用户」。需要说明的是，两篇报道均未披露具体损失金额、受影响地址数量与攻击交易哈希，也未说明 Pennysia 方面是否已暂停合约或作出回应。在主体表述上，Odaily 写作「@PennysiaLabs 部署」，PANews 写作「Pennysia 部署」，两者指向同一对象，仅详略不同。
从处置角度看，慢雾给出的建议明确且单一：曾向该 Settlement 合约授权代币的用户应立即撤销授权。由于撤销动作不取决于攻击者是否继续行动，这一提醒的紧迫性与被盗报告的出现直接相关。对于需要核查资产或授权状态的用户，常见入口包括芝麻Gate.io注册APP下载、Bitget注册APP下载、币安binance注册APP下载、欧易OKX注册APP下载、火币HTX注册APP下载等渠道；无论经由哪个平台查看，撤销操作是否生效应以链上授权记录为准。
目前可确认的时间线仍停留在预警阶段：11月13日慢雾发布提示，两家媒体同步转述，攻击细节与善后进展未见进一步公开。就已披露的信息看，漏洞位置在合约的调用环节，而受影响范围被界定为所有留有授权额度的用户；在 Pennysia 或慢雾公布更完整的受影响地址范围与损失数据之前，对事件规模的判断仍缺少依据，后续进展有待相关方补充说明。
常见问题
哪些用户需要立即撤销授权？
按慢雾的提醒，范围是「所有曾向该 Settlement 合约授权代币的用户」，即只要曾向 Pennysia 部署在以太坊上的该合约授权过代币，无论是否实际使用过，都应立即撤销授权。
目前是否公布了被盗金额和受影响地址数量？
没有。Odaily 星球日报与 PANews 的报道均只提到攻击者利用任意外部调用漏洞转移了用户此前授权但尚未使用的代币，未披露损失金额、受影响地址数量或攻击交易哈希。
后续值得关注的节点有哪些？
可关注慢雾是否更新该预警的细节、Pennysia 方面是否就合约当前状态与处置方案作出说明，以及是否公布受影响的授权地址范围与进一步的损失统计。