卡尔达诺的 Hydra 扩容协议发布了 2.4.1 版本，以修复一个可能导致资金被盗的漏洞。开发团队针对运行 2.4.0 版本以及 2.3.0 及更低版本的运营者，发布了不同的升级指引。

该问题被标识为 GHSA-cg83-6w6r-6hx3。根据 Hydra 团队的说明，该漏洞源于在一条优化路径中跳过了部分验证，原因是假定进入该路径的交易已完成验证。

若未经验证的交易进入系统，恶意参与者便可在快照中纳入签名错误或无法通过 Plutus 脚本的交易。在这种结构下，含有无效交易的快照可能被最终确认，从而形成可能导致资金被盗的路径。

2.4.1 版本恢复了快照最终确认阶段的交易签名检查和 Plutus 脚本验证。团队表示，使用 2.4.0 版本的用户可以直接升级至 2.4.1。使用 2.3.0 或更低版本的用户则被要求先终止现有 Hydra 头并完成扇出程序，再迁移至新版本。

该披露将此次更新界定为与 Hydra 交易验证流程相关的安全补丁，而非影响整个卡尔达诺链的问题。现有信息未说明有多少运营者受到影响、是否曾发生在野利用，或除版本升级指引外是否预计还需采取进一步补救措施。

为何重要

Hydra 是卡尔达诺扩容基础设施的一部分，因此，与快照最终确认和交易验证相关的漏洞，其意义远超过一次常规软件发布。这凸显出，即便核心设计旨在提升吞吐量和易用性，链下及类二层系统仍可能引入独特的安全风险。

这一事件也令市场关注生态系统的运营纪律。对于用于转移资金的基础设施而言，响应的有效性不仅取决于是否发布补丁，也取决于运营者能否清晰识别风险敞口、完成升级，并在迁移过程中避免不安全的状态转换。