Swan Treasury 在離線簽名者密鑰洩露後損失約 $625,000，攻擊者利用該密鑰以大幅折扣購買 STY 代幣，並在 BNB Chain 上套現，區塊鏈安全公司 Defimon Alerts 報告了此事。 事件經過 - 日期與洩露：Defimon Alerts 於 2026 年 7 月 30 日標記此事件。協議的離線簽名者密鑰——硬編碼於 ZhaiquanBuy 合約中的 _signer (0xdEb4…8284)——遭到入侵。 - 攻擊方式：攻擊者使用盜取的私鑰為自己的錢包生成有效簽名，這些簽名欺騙了合約的 buy() 函數，該函數根據簽署的「折扣」參數計算購買者可獲得的 STY 數量。 - 折扣濫用：通過簽署折扣值為 1，攻擊者實際上以約原價百分之一的價格購買了 STY。 - 資金與規模：攻擊者從 PancakeSwap 取得約 19,700 USDT 的閃貸，透過折扣購買路徑獲取近 687,000 STY，並為相關的 claim() 和 transfer() 函數偽造有效簽名以獲取更多代幣。 - 退出與收益：在將代幣拋售至 STY/USDT 流動性池後，攻擊者實現了約 625,000 USDT 的利潤。當時 STY 價格約為 $2.87。 為何這指向密鑰洩露而非合約漏洞 Defimon Alerts 的技術分析顯示，在攻擊期間所有 ecrecover 調用均解析為協議硬編碼的簽名者地址，而非攻擊者帳戶。這表明攻擊者實際擁有私鑰，而非簽名驗證邏輯存在缺陷。由於生成的簽名完全匹配預期簽名者，合約將這些交易視為合法。 Swan Treasury 的回應 在報告發布時，Swan Treasury 尚未公開說明簽名者密鑰是如何暴露的，或是否已實施任何緩解措施。 更廣泛的背景：密鑰暴露是持續存在的風險 此事件是多起因受損特權密鑰（而非智能合約漏洞）導致盜竊的攻擊之一： - 2025 年 6 月：Hacken 公布一樁與鑄造帳戶相關的私鑰洩露事件，攻擊者在以太坊和 BNB Chain 上創建了 9 億 HAI，並在帳戶被撤銷及橋接操作暫停前套現約 $250,000。 - 行業數據：crypto.news 引用 Hacken 的分析指出，2024 年記錄的加密貨幣駭客損失中，約 78% 源於存取控制失敗，包括私鑰洩露。 - Zilliqa：該網絡最近在發現其 Ledger 應用程式中的 nonce 生成缺陷後暫停了原生 ZIL 交易，此缺陷可能讓攻擊者從公開簽名中重建私鑰；問題出現在應用程式，而非 Ledger 硬體。 - 學術研究：加州大學的研究人員顯示，某些第三方 AI 路由服務在處理請求時可存取明文憑證——包括私鑰和助記詞。在受控測試中，一名中介在收到私鑰後從測試錢包中提走了 Ether。 結論 由憑證暴露引發的安全事件仍是加密貨幣專案的重大系統性風險。研究人員與安全公司一再建議開發者避免將私鑰或助記詞暴露給中介，最小化硬編碼權限，並採用更強大的加密與運營保障措施（例如硬體安全模組、多重簽名、輪替密鑰），以降低憑證遭竊的風險。
Swan Treasury 因離線簽名金鑰洩露損失 625 萬美元
ChainGPT分享
精華摘要
根據 ChainGPT 的鏈上新聞，Swan Treasury 因離鏈簽名金鑰外洩而損失 625,000 美元。攻擊者利用竊取的金鑰生成有效簽名，並濫用 buy() 函數。約 687,000 枚 STY 代幣透過閃電貸款取得，隨後在 BNB Chain 上售出。Defimon Alerts 確認簽名與協議內建的簽名者相符，指向金鑰外洩。截至目前，尚未公布協議更新，Swan Treasury 也未說明該金鑰是如何暴露的。
來源:顯示原文
免責聲明：本頁面資訊可能來自第三方，不一定反映KuCoin的觀點或意見。本內容僅供一般參考之用，不構成任何形式的陳述或保證，也不應被解釋為財務或投資建議。 KuCoin 對任何錯誤或遺漏，或因使用該資訊而導致的任何結果不承擔任何責任。
虛擬資產投資可能存在風險。請您根據自身的財務狀況仔細評估產品的風險以及您的風險承受能力。如需了解更多信息，請參閱我們的使用條款和風險披露 。