前言

本報告由 GCSA Web3 Labs ZkSec 發布：任意外部調用漏洞——合約將調用目標與數據完全交給調用者填寫——是鏈上授權資金面臨的一類核心風險。本文基於歸檔節點數據，重放 21 億筆歷史交易，掃描出超過一百個存在相關風險的合約，涉及多個代碼族。文章系統介紹檢測方法（歷史交易重放、調用參數溯源與變異驗證），分析漏洞構成與以太坊/BSC 鏈間差異，並以已知攻擊與掃描檢出案例進行交叉驗證，最終給出防禦建議。

1.1 任意外部調用漏洞

存在任意外部調用漏洞的合約，提供一個公開入口：調用的目標地址和數據由任何提交者填寫，合約以自己的身份執行。正常合約不是這樣——要調用誰、傳什麼數據，寫在代碼里或限定在白名單內。

這種入口有時是刻意的設計取捨（批量工具、跨鏈橋為了通用故意開放），有時是設計缺陷（本想限制調用範圍，卻漏了校驗）。無論是刻意開放還是校驗遺漏，只要合約持有用戶授權或滯留資金，缺少調用者限制的入口就可能被非預期調用者利用。

1.2 一個目標限制不足的案例

BSC 上的 MetaAggregatorSwapContract（0xc17b234fad8e40642662f1d2a6cbd1d609e7b9b5）存在目標限制不足的任意外部調用風險。它的功能是代用戶執行兌換：接收代幣，調用外部聚合器完成交易。