谁点的双皮奶

大家都在研究FOGO，都忽略了FOGO的审计报告，今天d得空研究了项目的审计报告，不易一样的角度，是可以看到一些不一样的问题的，所以把我看到和大家分享分享，看看从FOGO的审计报告角度看，在账户抽象与高性能叙事之外，Fogo离主网安全还有多远。
过去一年，Layer1 的技术路线其实发生了一个很明显的变化。
大家不再单纯卷 TPS，而是开始卷执行模型之外的用户体验层，比如会话签名、代付 Gas、链上身份、域授权体系。这背后有一个现实原因：链的性能再高，如果用户每一步操作都要用主钱包反复确认，任何需要连续动作的 DeFi 场景都很难成立。
也正是在这个背景下，Fogo 选择把重点放在一个很多人容易忽略的方向上：在保持 SVM 执行模型兼容的前提下，引入类似 session 的临时签名委托体系，再配合 paymaster 完成交易费用赞助，从而实现不依赖主钱包持续签名的链上交互流程。
如果单看产品体验层，这是一个非常合理的演进路径。问题在于，一旦你开始允许主账户把部分签名权、代币使用权、程序调用权限委托给临时会话密钥，整个系统的风险模型就会从链上合约安全，迅速扩展到权限生命周期管理与跨域授权控制。
Fogo 在 2025 年 10 月发布的两份由 OtterSec 完成的安全审计报告，正好给了我们一个机会，从工程安全而不是市场叙事的角度，看清这套体系目前处在什么阶段。
会话体系的核心问题，从来不是创建，而是撤销
Fogo Sessions 的设计目标很直接，让用户可以在某个域范围内创建临时 session key，授权其在有限时间内代表主钱包完成指定程序调用与代币操作。
这种机制在链上订单簿、自动清算、实时拍卖等高频场景中几乎是刚需，否则每一次链上撮合都需要主钱包参与签名，交互延迟会被人为拉高。
但审计报告中最关键的高风险问题，并不是出现在会话创建流程，而是会话关闭流程。
在 OS-FGS-ADV-00 中，审计团队发现 close_session 在实现上只是一个状态结束操作，并不会撤销此前通过 token approve 授予 session 的代币使用额度。也就是说，会话在逻辑上被关闭，但授权关系依然存在，只要 session key 曾经泄露过一次，攻击者依旧可以在关闭之后继续花费剩余额度。
这类问题危险的地方不在于代码复杂，而在于权限语义被错误建模。用户理解的关闭会话意味着权限归零，但系统实现只是终止会话状态，而不是终止授权能力。
团队已经通过在关闭流程中补充 revoke 调用完成修复，这一步非常必要，否则 session 体系本身就会成为一种难以察觉的长期授权残留机制。
赞助机制与账户模型之间的冲突，会直接转化为资金攻击面
Fogo 的 paymaster 机制允许 sponsor 为用户承担账户租金与交易费用，这也是其无感交互体验的重要基础。
为了在会话结束后回收这部分租金，系统将 token account 的 close authority 指定为 sponsor，使其可以在必要时关闭账户并取回 rent lamports。
但 OS-FGS-ADV-01 与 OS-FGS-ADV-02 显示，这一设计在面对 native token account 时存在结构性问题。
在现有 token program 中，当账户 owner 通过 SetAuthority 修改账户所有者时，close authority 字段会被重置。这意味着原本由 sponsor 控制的回收权限可能被账户 owner 间接夺回，从而在关闭账户时取走由 sponsor 垫付的租金。
另一方面，对于 wrapped SOL 账户，如果未及时调用 SyncNative，同步后的 amount 字段可能显示为零，但账户仍持有 lamports。在这种情况下，close authority 可以在非 owner 身份下关闭账户并取走剩余资金。
这两类问题并不属于逻辑漏洞，而是源于上层资金回收机制对底层账户状态字段的信任。只要系统设计依赖这些字段进行关闭判断，就必须确保其始终处于同步状态，否则 sponsor 资金就可能在合法流程下被转移。
报告建议在关闭前强制同步账户余额，并阻止 SetAuthority 重置 close authority，目前相关补丁已经合入。
Paymaster 的风险，本质上是 Web 服务级别而不是链上程序级别
随着 account abstraction 思路在各类链上逐渐落地，paymaster 正在成为新的攻击热点。Fogo 的审计报告中，多条中风险问题都集中在这一模块。
OS-FGS-ADV-03 指出 SDK 中 verifyLogInToken 在校验登录 token 时仅验证签名有效性，而未检查 token 或会话是否过期。这意味着即使 session 已被撤销，签名仍可能被误判为有效，从而授予访问权限。
OS-FGS-ADV-04 则表明 start_session 指令约束中缺少 domain PDA 校验，理论上可能出现一个域的 sponsor 被用于另一个域创建会话，从而承担本不属于自己的 sponsorship 责任。
更现实的问题来自 OS-FGS-ADV-05，目前 paymaster 对 sponsorship 请求缺乏速率限制，攻击者可以通过大量 session 建立请求耗尽 sponsor 资金池，形成服务拒绝。
这类风险的共同点在于，它们往往跨越链上与链下边界。即使链上程序逻辑完全正确，只要 SDK 或 API 层缺乏过期校验、域绑定验证或访问频率控制，攻击者依旧可以构造完整的滥用路径。
在当前以 paymaster 为核心的无 Gas 体验趋势下，这部分防护措施必须按照传统 Web 风控体系进行设计，而不能单纯依赖链上验证逻辑。
长生命周期授权叠加不可撤销性，是权限系统最危险的组合
在 OS-FGS-ADV-07 中，审计团队指出 session-manager 未对会话有效期设置上限，理论上可以创建持续数十年的 session。
单独看，这可能只是管理问题。但结合 OS-FGS-SUG-01，目前 revoke_session 仅允许 session account 自身作为 signer 发起撤销，一旦 session key 丢失，主钱包将无法提前终止该授权。
这就形成了长期授权与不可撤销并存的风险模型。一旦密钥泄露，用户只能等待会话自然过期，而无法主动断开其权限。
团队已经为会话增加最大时长限制，但允许主账户直接撤销会话的能力仍处于建议阶段。如果该功能未在主网上线前完成，session 体系在真实资产场景下将长期暴露于权限滥用风险之中。
Validator 审计揭示的，是主网级治理门槛而非实现问题
相比 Sessions 报告中偏实现层面的漏洞，Fogo Validator 的审计结果更偏向治理结构。
OS-FGV-ADV-00 显示，当前部分 feature gate 仍由旧的 Anza 所属密钥控制，意味着协议功能开关的控制权未完全纳入 Fogo 治理体系。
对于测试网环境，这种遗留并不致命，但在主网阶段，任何 feature activation 权限的不明确，都可能影响网络升级的可信度。
OS-FGV-ADV-01 更直接指出，当前 feature activation 逻辑仅要求 1% stake 与 1% RPC 节点参与即可激活新功能。
如此低的阈值在主网环境中存在明显风险，一旦少数节点提前启用新特性，而大多数验证者仍运行旧版本客户端，网络一致性就可能被打破，甚至诱发链分叉。
报告建议将阈值提升至至少三分之二的 stake 与 RPC 支持度，这也是大多数生产级区块链在功能升级时采用的安全下限。
从工程角度看，Fogo正在从性能问题转向权限与治理问题
如果只从技术路线来看，Fogo 试图解决的其实是当前高频 DeFi 交互体验的核心瓶颈。通过 session key 与 paymaster 机制，将连续签名与费用承担从主钱包抽离出来，确实可以显著降低链上操作摩擦。
但审计报告表明，随着交互复杂度上升，系统风险也逐渐从执行层转移至权限生命周期与治理流程。
Sessions 的挑战在于授权是否可控、是否可撤销、是否存在残留；Validator 的挑战则在于 feature gate 权限是否明确，以及升级流程是否具备足够共识基础。
从已修复问题的处理方式来看，团队在实现层面的响应速度是积极的。但对于撤销逻辑完善与 feature activation 阈值调整等治理类问题，其优先级仍将直接影响主网安全边界。
在当前市场周期中，账户抽象与无感交互已经成为新的基础设施竞争点。Fogo 的路线选择并不激进，但其安全模型必须在主网上线前完成从功能可用到权限可控的过渡，否则体验层优势可能会被授权体系的不确定性所抵消。
真正决定一条链能否承载大规模 DeFi 资产的，从来不是执行性能，而是用户在最坏情况下，是否仍然保有最终控制权。
@Fogo Official #fogo $FOGO
{future}(FOGOUSDT)

大家都在研究FOGO，都忽略了FOGO的审计报告，今天d得空研究了项目的审计报告，不易一样的角度，是可以看到一些不一样的问题的，所以把我看到和大家分享分享，看看从FOGO的审计报告角度看，在账户抽象与高性能叙事之外，Fogo离主网安全还有多远。
过去一年，Layer1 的技术路线其实发生了一个很明显的变化。
大家不再单纯卷 TPS，而是开始卷执行模型之外的用户体验层，比如会话签名、代付 Gas、链上身份、域授权体系。这背后有一个现实原因：链的性能再高，如果用户每一步操作都要用主钱包反复确认，任何需要连续动作的 DeFi 场景都很难成立。
也正是在这个背景下，Fogo 选择把重点放在一个很多人容易忽略的方向上：在保持 SVM 执行模型兼容的前提下，引入类似 session 的临时签名委托体系，再配合 paymaster 完成交易费用赞助，从而实现不依赖主钱包持续签名的链上交互流程。
如果单看产品体验层，这是一个非常合理的演进路径。问题在于，一旦你开始允许主账户把部分签名权、代币使用权、程序调用权限委托给临时会话密钥，整个系统的风险模型就会从链上合约安全，迅速扩展到权限生命周期管理与跨域授权控制。
Fogo 在 2025 年 10 月发布的两份由 OtterSec 完成的安全审计报告，正好给了我们一个机会，从工程安全而不是市场叙事的角度，看清这套体系目前处在什么阶段。
会话体系的核心问题，从来不是创建，而是撤销
Fogo Sessions 的设计目标很直接，让用户可以在某个域范围内创建临时 session key，授权其在有限时间内代表主钱包完成指定程序调用与代币操作。
这种机制在链上订单簿、自动清算、实时拍卖等高频场景中几乎是刚需，否则每一次链上撮合都需要主钱包参与签名，交互延迟会被人为拉高。
但审计报告中最关键的高风险问题，并不是出现在会话创建流程，而是会话关闭流程。
在 OS-FGS-ADV-00 中，审计团队发现 close_session 在实现上只是一个状态结束操作，并不会撤销此前通过 token approve 授予 session 的代币使用额度。也就是说，会话在逻辑上被关闭，但授权关系依然存在，只要 session key 曾经泄露过一次，攻击者依旧可以在关闭之后继续花费剩余额度。
这类问题危险的地方不在于代码复杂，而在于权限语义被错误建模。用户理解的关闭会话意味着权限归零，但系统实现只是终止会话状态，而不是终止授权能力。
团队已经通过在关闭流程中补充 revoke 调用完成修复，这一步非常必要，否则 session 体系本身就会成为一种难以察觉的长期授权残留机制。
赞助机制与账户模型之间的冲突，会直接转化为资金攻击面
Fogo 的 paymaster 机制允许 sponsor 为用户承担账户租金与交易费用，这也是其无感交互体验的重要基础。
为了在会话结束后回收这部分租金，系统将 token account 的 close authority 指定为 sponsor，使其可以在必要时关闭账户并取回 rent lamports。
但 OS-FGS-ADV-01 与 OS-FGS-ADV-02 显示，这一设计在面对 native token account 时存在结构性问题。
在现有 token program 中，当账户 owner 通过 SetAuthority 修改账户所有者时，close authority 字段会被重置。这意味着原本由 sponsor 控制的回收权限可能被账户 owner 间接夺回，从而在关闭账户时取走由 sponsor 垫付的租金。
另一方面，对于 wrapped SOL 账户，如果未及时调用 SyncNative，同步后的 amount 字段可能显示为零，但账户仍持有 lamports。在这种情况下，close authority 可以在非 owner 身份下关闭账户并取走剩余资金。
这两类问题并不属于逻辑漏洞，而是源于上层资金回收机制对底层账户状态字段的信任。只要系统设计依赖这些字段进行关闭判断，就必须确保其始终处于同步状态，否则 sponsor 资金就可能在合法流程下被转移。
报告建议在关闭前强制同步账户余额，并阻止 SetAuthority 重置 close authority，目前相关补丁已经合入。
Paymaster 的风险，本质上是 Web 服务级别而不是链上程序级别
随着 account abstraction 思路在各类链上逐渐落地，paymaster 正在成为新的攻击热点。Fogo 的审计报告中，多条中风险问题都集中在这一模块。
OS-FGS-ADV-03 指出 SDK 中 verifyLogInToken 在校验登录 token 时仅验证签名有效性，而未检查 token 或会话是否过期。这意味着即使 session 已被撤销，签名仍可能被误判为有效，从而授予访问权限。
OS-FGS-ADV-04 则表明 start_session 指令约束中缺少 domain PDA 校验，理论上可能出现一个域的 sponsor 被用于另一个域创建会话，从而承担本不属于自己的 sponsorship 责任。
更现实的问题来自 OS-FGS-ADV-05，目前 paymaster 对 sponsorship 请求缺乏速率限制，攻击者可以通过大量 session 建立请求耗尽 sponsor 资金池，形成服务拒绝。
这类风险的共同点在于，它们往往跨越链上与链下边界。即使链上程序逻辑完全正确，只要 SDK 或 API 层缺乏过期校验、域绑定验证或访问频率控制，攻击者依旧可以构造完整的滥用路径。
在当前以 paymaster 为核心的无 Gas 体验趋势下，这部分防护措施必须按照传统 Web 风控体系进行设计，而不能单纯依赖链上验证逻辑。
长生命周期授权叠加不可撤销性，是权限系统最危险的组合
在 OS-FGS-ADV-07 中，审计团队指出 session-manager 未对会话有效期设置上限，理论上可以创建持续数十年的 session。
单独看，这可能只是管理问题。但结合 OS-FGS-SUG-01，目前 revoke_session 仅允许 session account 自身作为 signer 发起撤销，一旦 session key 丢失，主钱包将无法提前终止该授权。
这就形成了长期授权与不可撤销并存的风险模型。一旦密钥泄露，用户只能等待会话自然过期，而无法主动断开其权限。
团队已经为会话增加最大时长限制，但允许主账户直接撤销会话的能力仍处于建议阶段。如果该功能未在主网上线前完成，session 体系在真实资产场景下将长期暴露于权限滥用风险之中。
Validator 审计揭示的，是主网级治理门槛而非实现问题
相比 Sessions 报告中偏实现层面的漏洞，Fogo Validator 的审计结果更偏向治理结构。
OS-FGV-ADV-00 显示，当前部分 feature gate 仍由旧的 Anza 所属密钥控制，意味着协议功能开关的控制权未完全纳入 Fogo 治理体系。
对于测试网环境，这种遗留并不致命，但在主网阶段，任何 feature activation 权限的不明确，都可能影响网络升级的可信度。
OS-FGV-ADV-01 更直接指出，当前 feature activation 逻辑仅要求 1% stake 与 1% RPC 节点参与即可激活新功能。
如此低的阈值在主网环境中存在明显风险，一旦少数节点提前启用新特性，而大多数验证者仍运行旧版本客户端，网络一致性就可能被打破，甚至诱发链分叉。
报告建议将阈值提升至至少三分之二的 stake 与 RPC 支持度，这也是大多数生产级区块链在功能升级时采用的安全下限。
从工程角度看，Fogo正在从性能问题转向权限与治理问题
如果只从技术路线来看，Fogo 试图解决的其实是当前高频 DeFi 交互体验的核心瓶颈。通过 session key 与 paymaster 机制，将连续签名与费用承担从主钱包抽离出来，确实可以显著降低链上操作摩擦。
但审计报告表明，随着交互复杂度上升，系统风险也逐渐从执行层转移至权限生命周期与治理流程。
Sessions 的挑战在于授权是否可控、是否可撤销、是否存在残留；Validator 的挑战则在于 feature gate 权限是否明确，以及升级流程是否具备足够共识基础。
从已修复问题的处理方式来看，团队在实现层面的响应速度是积极的。但对于撤销逻辑完善与 feature activation 阈值调整等治理类问题，其优先级仍将直接影响主网安全边界。
在当前市场周期中，账户抽象与无感交互已经成为新的基础设施竞争点。Fogo 的路线选择并不激进，但其安全模型必须在主网上线前完成从功能可用到权限可控的过渡，否则体验层优势可能会被授权体系的不确定性所抵消。
真正决定一条链能否承载大规模 DeFi 资产的，从来不是执行性能，而是用户在最坏情况下，是否仍然保有最终控制权。
@Fogo Official #fogo $FOGO
{future}(FOGOUSDT)

大家都在研究FOGO，都忽略了FOGO的审计报告，今天d得空研究了项目的审计报告，不易一样的角度，是可以看到一些不一样的问题的，所以把我看到和大家分享分享，看看从FOGO的审计报告角度看，在账户抽象与高性能叙事之外，Fogo离主网安全还有多远。
过去一年，Layer1 的技术路线其实发生了一个很明显的变化。
大家不再单纯卷 TPS，而是开始卷执行模型之外的用户体验层，比如会话签名、代付 Gas、链上身份、域授权体系。这背后有一个现实原因：链的性能再高，如果用户每一步操作都要用主钱包反复确认，任何需要连续动作的 DeFi 场景都很难成立。
也正是在这个背景下，Fogo 选择把重点放在一个很多人容易忽略的方向上：在保持 SVM 执行模型兼容的前提下，引入类似 session 的临时签名委托体系，再配合 paymaster 完成交易费用赞助，从而实现不依赖主钱包持续签名的链上交互流程。
如果单看产品体验层，这是一个非常合理的演进路径。问题在于，一旦你开始允许主账户把部分签名权、代币使用权、程序调用权限委托给临时会话密钥，整个系统的风险模型就会从链上合约安全，迅速扩展到权限生命周期管理与跨域授权控制。
Fogo 在 2025 年 10 月发布的两份由 OtterSec 完成的安全审计报告，正好给了我们一个机会，从工程安全而不是市场叙事的角度，看清这套体系目前处在什么阶段。
会话体系的核心问题，从来不是创建，而是撤销
Fogo Sessions 的设计目标很直接，让用户可以在某个域范围内创建临时 session key，授权其在有限时间内代表主钱包完成指定程序调用与代币操作。
这种机制在链上订单簿、自动清算、实时拍卖等高频场景中几乎是刚需，否则每一次链上撮合都需要主钱包参与签名，交互延迟会被人为拉高。
但审计报告中最关键的高风险问题，并不是出现在会话创建流程，而是会话关闭流程。
在 OS-FGS-ADV-00 中，审计团队发现 close_session 在实现上只是一个状态结束操作，并不会撤销此前通过 token approve 授予 session 的代币使用额度。也就是说，会话在逻辑上被关闭，但授权关系依然存在，只要 session key 曾经泄露过一次，攻击者依旧可以在关闭之后继续花费剩余额度。
这类问题危险的地方不在于代码复杂，而在于权限语义被错误建模。用户理解的关闭会话意味着权限归零，但系统实现只是终止会话状态，而不是终止授权能力。
团队已经通过在关闭流程中补充 revoke 调用完成修复，这一步非常必要，否则 session 体系本身就会成为一种难以察觉的长期授权残留机制。
赞助机制与账户模型之间的冲突，会直接转化为资金攻击面
Fogo 的 paymaster 机制允许 sponsor 为用户承担账户租金与交易费用，这也是其无感交互体验的重要基础。
为了在会话结束后回收这部分租金，系统将 token account 的 close authority 指定为 sponsor，使其可以在必要时关闭账户并取回 rent lamports。
但 OS-FGS-ADV-01 与 OS-FGS-ADV-02 显示，这一设计在面对 native token account 时存在结构性问题。
在现有 token program 中，当账户 owner 通过 SetAuthority 修改账户所有者时，close authority 字段会被重置。这意味着原本由 sponsor 控制的回收权限可能被账户 owner 间接夺回，从而在关闭账户时取走由 sponsor 垫付的租金。
另一方面，对于 wrapped SOL 账户，如果未及时调用 SyncNative，同步后的 amount 字段可能显示为零，但账户仍持有 lamports。在这种情况下，close authority 可以在非 owner 身份下关闭账户并取走剩余资金。
这两类问题并不属于逻辑漏洞，而是源于上层资金回收机制对底层账户状态字段的信任。只要系统设计依赖这些字段进行关闭判断，就必须确保其始终处于同步状态，否则 sponsor 资金就可能在合法流程下被转移。
报告建议在关闭前强制同步账户余额，并阻止 SetAuthority 重置 close authority，目前相关补丁已经合入。
Paymaster 的风险，本质上是 Web 服务级别而不是链上程序级别
随着 account abstraction 思路在各类链上逐渐落地，paymaster 正在成为新的攻击热点。Fogo 的审计报告中，多条中风险问题都集中在这一模块。
OS-FGS-ADV-03 指出 SDK 中 verifyLogInToken 在校验登录 token 时仅验证签名有效性，而未检查 token 或会话是否过期。这意味着即使 session 已被撤销，签名仍可能被误判为有效，从而授予访问权限。
OS-FGS-ADV-04 则表明 start_session 指令约束中缺少 domain PDA 校验，理论上可能出现一个域的 sponsor 被用于另一个域创建会话，从而承担本不属于自己的 sponsorship 责任。
更现实的问题来自 OS-FGS-ADV-05，目前 paymaster 对 sponsorship 请求缺乏速率限制，攻击者可以通过大量 session 建立请求耗尽 sponsor 资金池，形成服务拒绝。
这类风险的共同点在于，它们往往跨越链上与链下边界。即使链上程序逻辑完全正确，只要 SDK 或 API 层缺乏过期校验、域绑定验证或访问频率控制，攻击者依旧可以构造完整的滥用路径。
在当前以 paymaster 为核心的无 Gas 体验趋势下，这部分防护措施必须按照传统 Web 风控体系进行设计，而不能单纯依赖链上验证逻辑。
长生命周期授权叠加不可撤销性，是权限系统最危险的组合
在 OS-FGS-ADV-07 中，审计团队指出 session-manager 未对会话有效期设置上限，理论上可以创建持续数十年的 session。
单独看，这可能只是管理问题。但结合 OS-FGS-SUG-01，目前 revoke_session 仅允许 session account 自身作为 signer 发起撤销，一旦 session key 丢失，主钱包将无法提前终止该授权。
这就形成了长期授权与不可撤销并存的风险模型。一旦密钥泄露，用户只能等待会话自然过期，而无法主动断开其权限。
团队已经为会话增加最大时长限制，但允许主账户直接撤销会话的能力仍处于建议阶段。如果该功能未在主网上线前完成，session 体系在真实资产场景下将长期暴露于权限滥用风险之中。
Validator 审计揭示的，是主网级治理门槛而非实现问题
相比 Sessions 报告中偏实现层面的漏洞，Fogo Validator 的审计结果更偏向治理结构。
OS-FGV-ADV-00 显示，当前部分 feature gate 仍由旧的 Anza 所属密钥控制，意味着协议功能开关的控制权未完全纳入 Fogo 治理体系。
对于测试网环境，这种遗留并不致命，但在主网阶段，任何 feature activation 权限的不明确，都可能影响网络升级的可信度。
OS-FGV-ADV-01 更直接指出，当前 feature activation 逻辑仅要求 1% stake 与 1% RPC 节点参与即可激活新功能。
如此低的阈值在主网环境中存在明显风险，一旦少数节点提前启用新特性，而大多数验证者仍运行旧版本客户端，网络一致性就可能被打破，甚至诱发链分叉。
报告建议将阈值提升至至少三分之二的 stake 与 RPC 支持度，这也是大多数生产级区块链在功能升级时采用的安全下限。
从工程角度看，Fogo正在从性能问题转向权限与治理问题
如果只从技术路线来看，Fogo 试图解决的其实是当前高频 DeFi 交互体验的核心瓶颈。通过 session key 与 paymaster 机制，将连续签名与费用承担从主钱包抽离出来，确实可以显著降低链上操作摩擦。
但审计报告表明，随着交互复杂度上升，系统风险也逐渐从执行层转移至权限生命周期与治理流程。
Sessions 的挑战在于授权是否可控、是否可撤销、是否存在残留；Validator 的挑战则在于 feature gate 权限是否明确，以及升级流程是否具备足够共识基础。
从已修复问题的处理方式来看，团队在实现层面的响应速度是积极的。但对于撤销逻辑完善与 feature activation 阈值调整等治理类问题，其优先级仍将直接影响主网安全边界。
在当前市场周期中，账户抽象与无感交互已经成为新的基础设施竞争点。Fogo 的路线选择并不激进，但其安全模型必须在主网上线前完成从功能可用到权限可控的过渡，否则体验层优势可能会被授权体系的不确定性所抵消。
真正决定一条链能否承载大规模 DeFi 资产的，从来不是执行性能，而是用户在最坏情况下，是否仍然保有最终控制权。
@Fogo Official #fogo $FOGO
{future}(FOGOUSDT)

大家都在研究FOGO，都忽略了FOGO的审计报告，今天d得空研究了项目的审计报告，不易一样的角度，是可以看到一些不一样的问题的，所以把我看到和大家分享分享，看看从FOGO的审计报告角度看，在账户抽象与高性能叙事之外，Fogo离主网安全还有多远。
过去一年，Layer1 的技术路线其实发生了一个很明显的变化。
大家不再单纯卷 TPS，而是开始卷执行模型之外的用户体验层，比如会话签名、代付 Gas、链上身份、域授权体系。这背后有一个现实原因：链的性能再高，如果用户每一步操作都要用主钱包反复确认，任何需要连续动作的 DeFi 场景都很难成立。
也正是在这个背景下，Fogo 选择把重点放在一个很多人容易忽略的方向上：在保持 SVM 执行模型兼容的前提下，引入类似 session 的临时签名委托体系，再配合 paymaster 完成交易费用赞助，从而实现不依赖主钱包持续签名的链上交互流程。
如果单看产品体验层，这是一个非常合理的演进路径。问题在于，一旦你开始允许主账户把部分签名权、代币使用权、程序调用权限委托给临时会话密钥，整个系统的风险模型就会从链上合约安全，迅速扩展到权限生命周期管理与跨域授权控制。
Fogo 在 2025 年 10 月发布的两份由 OtterSec 完成的安全审计报告，正好给了我们一个机会，从工程安全而不是市场叙事的角度，看清这套体系目前处在什么阶段。
会话体系的核心问题，从来不是创建，而是撤销
Fogo Sessions 的设计目标很直接，让用户可以在某个域范围内创建临时 session key，授权其在有限时间内代表主钱包完成指定程序调用与代币操作。
这种机制在链上订单簿、自动清算、实时拍卖等高频场景中几乎是刚需，否则每一次链上撮合都需要主钱包参与签名，交互延迟会被人为拉高。
但审计报告中最关键的高风险问题，并不是出现在会话创建流程，而是会话关闭流程。
在 OS-FGS-ADV-00 中，审计团队发现 close_session 在实现上只是一个状态结束操作，并不会撤销此前通过 token approve 授予 session 的代币使用额度。也就是说，会话在逻辑上被关闭，但授权关系依然存在，只要 session key 曾经泄露过一次，攻击者依旧可以在关闭之后继续花费剩余额度。
这类问题危险的地方不在于代码复杂，而在于权限语义被错误建模。用户理解的关闭会话意味着权限归零，但系统实现只是终止会话状态，而不是终止授权能力。
团队已经通过在关闭流程中补充 revoke 调用完成修复，这一步非常必要，否则 session 体系本身就会成为一种难以察觉的长期授权残留机制。
赞助机制与账户模型之间的冲突，会直接转化为资金攻击面
Fogo 的 paymaster 机制允许 sponsor 为用户承担账户租金与交易费用，这也是其无感交互体验的重要基础。
为了在会话结束后回收这部分租金，系统将 token account 的 close authority 指定为 sponsor，使其可以在必要时关闭账户并取回 rent lamports。
但 OS-FGS-ADV-01 与 OS-FGS-ADV-02 显示，这一设计在面对 native token account 时存在结构性问题。
在现有 token program 中，当账户 owner 通过 SetAuthority 修改账户所有者时，close authority 字段会被重置。这意味着原本由 sponsor 控制的回收权限可能被账户 owner 间接夺回，从而在关闭账户时取走由 sponsor 垫付的租金。
另一方面，对于 wrapped SOL 账户，如果未及时调用 SyncNative，同步后的 amount 字段可能显示为零，但账户仍持有 lamports。在这种情况下，close authority 可以在非 owner 身份下关闭账户并取走剩余资金。
这两类问题并不属于逻辑漏洞，而是源于上层资金回收机制对底层账户状态字段的信任。只要系统设计依赖这些字段进行关闭判断，就必须确保其始终处于同步状态，否则 sponsor 资金就可能在合法流程下被转移。
报告建议在关闭前强制同步账户余额，并阻止 SetAuthority 重置 close authority，目前相关补丁已经合入。
Paymaster 的风险，本质上是 Web 服务级别而不是链上程序级别
随着 account abstraction 思路在各类链上逐渐落地，paymaster 正在成为新的攻击热点。Fogo 的审计报告中，多条中风险问题都集中在这一模块。
OS-FGS-ADV-03 指出 SDK 中 verifyLogInToken 在校验登录 token 时仅验证签名有效性，而未检查 token 或会话是否过期。这意味着即使 session 已被撤销，签名仍可能被误判为有效，从而授予访问权限。
OS-FGS-ADV-04 则表明 start_session 指令约束中缺少 domain PDA 校验，理论上可能出现一个域的 sponsor 被用于另一个域创建会话，从而承担本不属于自己的 sponsorship 责任。
更现实的问题来自 OS-FGS-ADV-05，目前 paymaster 对 sponsorship 请求缺乏速率限制，攻击者可以通过大量 session 建立请求耗尽 sponsor 资金池，形成服务拒绝。
这类风险的共同点在于，它们往往跨越链上与链下边界。即使链上程序逻辑完全正确，只要 SDK 或 API 层缺乏过期校验、域绑定验证或访问频率控制，攻击者依旧可以构造完整的滥用路径。
在当前以 paymaster 为核心的无 Gas 体验趋势下，这部分防护措施必须按照传统 Web 风控体系进行设计，而不能单纯依赖链上验证逻辑。
长生命周期授权叠加不可撤销性，是权限系统最危险的组合
在 OS-FGS-ADV-07 中，审计团队指出 session-manager 未对会话有效期设置上限，理论上可以创建持续数十年的 session。
单独看，这可能只是管理问题。但结合 OS-FGS-SUG-01，目前 revoke_session 仅允许 session account 自身作为 signer 发起撤销，一旦 session key 丢失，主钱包将无法提前终止该授权。
这就形成了长期授权与不可撤销并存的风险模型。一旦密钥泄露，用户只能等待会话自然过期，而无法主动断开其权限。
团队已经为会话增加最大时长限制，但允许主账户直接撤销会话的能力仍处于建议阶段。如果该功能未在主网上线前完成，session 体系在真实资产场景下将长期暴露于权限滥用风险之中。
Validator 审计揭示的，是主网级治理门槛而非实现问题
相比 Sessions 报告中偏实现层面的漏洞，Fogo Validator 的审计结果更偏向治理结构。
OS-FGV-ADV-00 显示，当前部分 feature gate 仍由旧的 Anza 所属密钥控制，意味着协议功能开关的控制权未完全纳入 Fogo 治理体系。
对于测试网环境，这种遗留并不致命，但在主网阶段，任何 feature activation 权限的不明确，都可能影响网络升级的可信度。
OS-FGV-ADV-01 更直接指出，当前 feature activation 逻辑仅要求 1% stake 与 1% RPC 节点参与即可激活新功能。
如此低的阈值在主网环境中存在明显风险，一旦少数节点提前启用新特性，而大多数验证者仍运行旧版本客户端，网络一致性就可能被打破，甚至诱发链分叉。
报告建议将阈值提升至至少三分之二的 stake 与 RPC 支持度，这也是大多数生产级区块链在功能升级时采用的安全下限。
从工程角度看，Fogo正在从性能问题转向权限与治理问题
如果只从技术路线来看，Fogo 试图解决的其实是当前高频 DeFi 交互体验的核心瓶颈。通过 session key 与 paymaster 机制，将连续签名与费用承担从主钱包抽离出来，确实可以显著降低链上操作摩擦。
但审计报告表明，随着交互复杂度上升，系统风险也逐渐从执行层转移至权限生命周期与治理流程。
Sessions 的挑战在于授权是否可控、是否可撤销、是否存在残留；Validator 的挑战则在于 feature gate 权限是否明确，以及升级流程是否具备足够共识基础。
从已修复问题的处理方式来看，团队在实现层面的响应速度是积极的。但对于撤销逻辑完善与 feature activation 阈值调整等治理类问题，其优先级仍将直接影响主网安全边界。
在当前市场周期中，账户抽象与无感交互已经成为新的基础设施竞争点。Fogo 的路线选择并不激进，但其安全模型必须在主网上线前完成从功能可用到权限可控的过渡，否则体验层优势可能会被授权体系的不确定性所抵消。
真正决定一条链能否承载大规模 DeFi 资产的，从来不是执行性能，而是用户在最坏情况下，是否仍然保有最终控制权。
@Fogo Official #fogo $FOGO
{future}(FOGOUSDT)