闪电贷攻击者从Avalanche Tranche金库盗取101万美元USDC

虚增份额被用来抽干金库

链上数据显示,美国东部时间10月27日(星期二)晚间,约101万美元的USDC从Avalanche网络上的一个Tranche Vault被转出。攻击者先通过闪电贷借入资金,铸造了一份数量被虚增的分级份额,随后将这些份额兑换成金库中尚未流出的存款。安全公司Blockaid将目前损失定为约101万美元,并在美国东部时间晚9:07于X上发布警报时明确指出,攻击仍在进行中。整个窃取过程约由两笔交易完成,任何人都可以直接在区块链上核查这条痕迹。所谓闪电贷,是一种无需抵押的借贷方式,借入与归还被强制放在同一笔交易内完成,调用者可以在瞬间撬动大额资金,却不承担本金损失的风险。在这次事件中,借入的资金按虚增数量铸造了分级份额,随后被拿去向资金池中剩余的USDC赎回。分级金库把存款拆成风险与收益特征不同的多层头寸,因此份额数量一旦被虚增,就等价于对资金池提出了更大的索偿。这也决定了损失的测算逻辑:虚增份额只有在资金池里还有可赎回的USDC时才有利可图,而攻击者兑现的恰恰就是这部分余额。Blockaid表示,该金库与Valinor Digital和Fence有关,并标记了两家公司的X账号,但警报没有直接点名运营方。截至发稿,两家公司均未就事件公开表态。作为稳定币,USDC的设计目标是锚定美元,USDC价格本身并非此次攻击的目标,风险敞口完全落在存入的余额上。

警报发出时仍未澄清的问题,与损失金额本身同样关键。该公司没有说明金库是否已经暂停、被盗USDC是否还有追回可能、受影响的存款人有多少。其给出的101万美元是一个滚动累计数字,而非最终定论,这意味着如果攻击在美国东部时间晚9:07之后仍在继续,损失数字还会上升。截至发稿,Valinor Digital和Fence都没有发布声明、暂停通知或处置方案,存款人因此无从得知提现是否仍在运转,也不知道自己大概能拿回资金池中的多少份额。两笔交易的链上痕迹给调查者留出了一个狭窄的窗口:一旦赃款离开金库合约,追回的希望就取决于运营方的反应速度,以及前端是否还挂着未处理的提现请求。滚动累计的数字也让赔付计算变得复杂,因为在数字停止增长之前,每个存款人的实际损失比例都无法确定。从手法上看,这次攻击重演了Avalanche网络此前出现过的模式。2023年2月,同一网络上的稳定币兑换平台Platypus损失约850万美元,当时攻击者同样利用闪电贷配合一个失效的偿付能力校验。星期二的事件延续了同样的路径:借入资金、虚增份额记账、对存款提出索偿,并在同一笔交易内偿还贷款,全部在多数存款人来得及反应之前完成。此次Tranche Vault事件中没有任何密钥被盗的指控,这把审查方向引向份额定价逻辑与偿付能力假设,也正是区块链安全审计所覆盖的范围。对于正在评估相关敞口的USDC金库持有者来说,现实问题是操作层面的:运营方能否在累计数字继续扩大之前暂停合约、公开信息并重定价份额。

追回、暂停均无结论,运营方仍未具名

当前最可靠的证据仍在链上。构成此次盗取的两笔交易今天就能在浏览器上追查,赃款流出的钱包地址会显示资金是被囤积,还是已经开始流向混币器;真正决定追回概率的是这条链上轨迹,而不是任何一纸声明。剩下的事项取决于三项披露:暂停确认、运营方具名,以及用最终数字取代目前的滚动累计。这次故障同样可以定位在金库这一层,而非发行方的底层通道:Circle的USDC Match通过每小时一次的拍卖为机构配对铸造与赎回,这套机制未受任何影响。最近的一次类似事件是Initia攻击事件,该事件导致USDC储备降至63美元,且至今没有重启日期。在上述披露落地之前,101万美元应当被理解为损失的下限,而不是最终结算数字。