Omo审计发现：Solana AI交易代理的174笔订单承诺无一匹配其钱包签名
在对Omo进行的一项学生审计中，研究人员发现，该Solana (SOL) AI交易代理显示的资产组合超过20万美元，但其174笔订单承诺中，没有任何一笔与其钱包签署的交易相匹配。
核心要点
一名学生研究人员检查了Omo的一个已密封决策，发现配对交易是由另一个钱包签署的代币转账。Omo自身的公开数据显示，其174笔订单承诺均未与该代理签署的任何交易相关联。报告呼吁使用硬件持有的签名密钥，尽管作者指出，硬件方案无法解决该代理的其他失败问题。Omo审计详情
俄勒冈大学区块链俱乐部成员Charlie Sneed于9月28日通过硬件钱包制造商Ledger举办的研究竞赛发表了这篇论文。Ledger表示，其并不担保Sneed结论的正确性。在Omo停止交易且网站下线前的几天，Sneed开始研究Omo，当时其公共仪表板显示资产组合正在快速增长。
Omo于8月9日上线，并在8月31日之前进行Meme币交易。在每笔订单发布前，它会将推理过程的加密指纹发布到Solana区块链上，然后在20分钟后公布文本内容，以便任何人进行比对。其文档列出了外部人员可以使用哈希工具和公共Solana服务器执行的四种检查方法，无需访问Omo的系统。其中第四项检查要求确认代理发布的钱包是否签署了该交易，项目方规定，任何由其他密钥签署的成交均为不合格。然而，这项检查未能通过。
Sneed手工验证了一项承诺，即附带交易的最早一项记录。与8月21日做出的决策配对的交易，实际上是一笔由另一个钱包签署的代币转账，发送至包括Omo在内的多个地址，其中并未包含购买行为。
Sneed关于密钥的观点
Sneed写道，密码学机制本身是有效的，他发现的每一个问题都在Omo的代码中有记录，并且他没有看到故意误导的证据。零对174的比例数据源自Omo自身的公开数据页面。他认为，弱点在于托管环节，因为Omo使用了从手机应用程序中提取并存储在服务器上的密钥，且其交易匹配代码从未检查过签名。
Sneed提出了三项修复建议，首要建议是使用由代理控制并存储在硬件中的签名密钥，这正是Ledger所销售的产品类型。但他也对此主张进行了自我限制，指出硬件方案无法捕捉Omo 7.1%的低胜率，也无法阻止代理在网页搜索功能连续数天故障的情况下继续交易。
代理交易风险
今年，更多大型平台向交易代理开放了权限。于8月20日允许AI代理进行交易，其产品副总裁Jeff Li表示，公司“确实无法看到”这些订单背后的推理逻辑。Robinhood在9月29日表示拥有超过150,000个代理账户，同时声明其不对代理进行监督或审计。而FINRA（美国金融业监管局）的2026年监管报告也将自主性和可审计性列为主要风险。
