Chainflip 遭 73.6 万美元攻击，TRON USDT 余额归零

据 Woofun AI 消息，跨链协议 Chainflip 在遭遇针对 TRON USDT 的漏洞攻击后，正式宣布将受影响流动性提供者的活跃账户余额重置为零。此次事件导致约 73.6 万美元损失，协议方通过分离链上记录与活跃余额的方式，试图在技术修复与资金赔付之间建立缓冲机制，以应对当前的信任危机。

攻击发生于 9 月 12 日世界标准时间 01:44 至 03:10 期间，涉案金额精确为 736,442.17 USDT。攻击者利用协议解析波场转账备注信息的逻辑缺陷，提交了一笔经验证者签署但附带格式有误备注的交易。监控软件错误地将该备注解读为交换失败，从而在正常处理六笔流动性提供者提款的同时，额外触发了退款操作，导致资金从波场金库中重复流出。

Woofun AI 整理数据显示，该漏洞仅影响 trxUSDT 相关路径，其他所有资金均未受到波及。由于波场金库当前 USDT 余额远低于应付给提供者的数额，Chainflip 不得不采取极端措施以隔离风险。

为恢复网络运行，Chainflip 于 9 月 16 日重启了交换与报价功能，但波场网络仍处于隔离状态。在迁移计划中，所有未完成的波场/USDT 订单及策略被强制关闭，相关借贷头寸也被了结。关键修复措施在于限制波场转账携带备注中的交换指令，新逻辑仅接受附着在普通波场转账或直接 TRC-20 token 转账上的备注，排除了嵌套在其他合约调用中的转账，从而堵住了引发额外退款的途径。在重置活跃账户余额前，每位提供者在迁移前的 trxUSDT 余额被单独记录在链上，这一独立记录确保了应支付金额的留存，尽管迁移完成后，提供者的活跃 trxUSDT 账户显示的余额将为零。

尽管 Chainflip 承诺会让受影响的提供者得到应有的补偿，但款项偿还事宜仍处于待定状态。公开通报中未说明资金来源或赔付时间表，也未记载已完成的支付金额或最终追回的数额。

这种不确定性使得流动性提供者面临漫长的等待期，而波场网络的隔离状态进一步加剧了市场对该协议安全性的担忧。这是继多起跨链桥漏洞事件后，再次凸显出智能合约逻辑复杂性带来的潜在风险。