黑客操纵代币价格实施攻击,去中心化稳定币协议Resupply损失950万美元
安全平台BlockSec Phalcon于6月25日率先监测到可疑交易,发现攻击者通过操纵代币价格扭曲汇率,从去中心化稳定币协议Resupply中盗取约950万美元资金。Resupply协议随后在社交平台X确认此事,表示已暂停受影响的智能合约,且攻击仅波及wstUSR市场。
Resupply团队声明:"wstUSR市场遭遇安全事件。相关合约已识别并暂停,协议核心功能仍正常运行。完整事件分析报告将在调查完成后公布。"该推文发布于2025年6月26日。
攻击手法解析
尽管详细报告尚未发布,安全研究人员的初步分析指出这是典型的低流动性市场价格操纵案例。攻击者针对的是通过Convex Finance质押的Curve DAO(CRV)代币crvUSD的封装版本cvcrvUSD。
分析师表示,攻击者通过发送小额捐赠人为抬高cvcrvUSD的单价。由于Resupply的汇率计算公式依赖这一被操纵的价格,系统随即出现漏洞。攻击者随后仅用1wei(最小单位)的cvcrvUSD作为抵押,就从Resupply智能合约中借出1000万枚平台原生稳定币reUSD,并在外部市场迅速兑换为其他资产,最终造成净损失约950万美元。
进一步调查显示,攻击者还利用协议CurveLend交易对中充当价格预言机的空ERC4626封装合约,仅用2枚crvUSD就使cvcrvUSD价格飙升,绕过了常规抵押要求。
2025年价格操纵攻击趋势
该事件延续了2025年价格操纵攻击的上升趋势。近期Meta Pool协议和GMX/MIM Spell生态系统均因预言机漏洞和低流动性代币操纵遭受类似攻击。
薄弱的定价机制和闪电贷仍是攻击者的常用工具。即使通过合约安全审计,交易量稀少的DeFi系统仍持续成为攻击目标。Resupply尚未公布是否会对用户资金进行补偿或启动追回程序。