1inch Clear Signing 被曝高危漏洞：13条链上合约地址未显示

2026年7月底，审计机构Cyfrin对1inch Clear Signing系统展开审查，揭示其在多个主流区块链网络中存在多项高危安全问题。核心风险在于，用户资金接收的合约地址未在加密钱包屏幕上明确呈现，可能导致交易被误导或恶意篡改。

漏洞覆盖范围与技术背景

此次审计涉及1inch V6路由器在以太坊、Arbitrum、Base、BNB Chain、Polygon等共13条区块链上的部署。所有相关描述符（descriptors）均依赖公开注册表进行配置，该机制用于定义钱包应展示哪些交易字段及标签。

Clear Signing技术最初由Ledger于2023年推出，旨在应对2025年Bybit遭遇的重大黑客攻击事件。当时，由于设备未验证签名数据，导致用户在不知情下完成“盲签”操作。为防止类似风险，该系统通过将复杂交易信息转化为可读文本形式，提升用户对交易内容的理解能力。

关键漏洞详情：隐藏资金接收地址

审计报告编号2688指出，1inch V6主要描述符中存在两项严重级别问题。第一项涉及`clipperExchange`参数，该字段决定资金流向的目标合约，但始终未在屏幕中显示。第二项针对`args`字段，在特定订单模式下可能包含接收购买资产的地址，用户仅能看到金额，却无法确认资金去向。

此外，三项中等级别发现也集中在显示逻辑偏差：订单金额标签在不同模式下混淆为“待出售”或“待购买”；`permitAndCall`函数中的授权信息被隐藏；以及Sourcify工具无法验证zkSync链上代码，影响完整性判断。

修复进展滞后：漏洞仍未清除

尽管编号2690的zkSync版本描述符已于9月22日从注册表移除，因编译代码无法通过Sourcify验证，但主分支注册表中仍保留着原始规则。截至10月12日，这些规则的最后更新时间为2026年4月10日，覆盖包括以太坊在内的13个网络。

另一份报告（编号2689）揭示，针对EIP-712格式链下订单的描述符隐藏了`makerTraits`字段，该字段包含订单有效期及执行授权限制，同样被列为严重风险。

认证机制不等于安全性保障

注册表采用ERC-8176标准提供“认证”功能，允许审计机构对已审查的描述符进行数字签名。然而，目前1inch V6版本的描述符均未获得认证，而仅有V3和V4版本有记录。

Cyfrin在报告中指出，即便经过认证，也无法保证语义准确性——即签名验证不能确保显示内容真实反映交易意图。同时，代理合约可升级特性带来额外不确定性，已有80个代理相关描述符被识别，但尚未纳入统一处理流程。

用户应对建议与未来方向

当前，注册表中仍有两份经审计的V6描述符未作修改，而针对`makerTraits`的修复方案仅需一行代码调整。关于代理问题的提案1738仍在等待进一步审核。

对于普通用户而言，若钱包未显示关键字段，应谨慎签署交易。建议优先使用支持完整字段可见性的钱包，并关注官方发布的更新通知。未来，随着标准完善与多链兼容性增强，此类风险有望逐步降低。