- 黑客利用 Resupply DeFi 协议中的漏洞，通过操纵 cvcrvUSD 价格并触发零汇率错误，盗取 960 万美元。
- 此次攻击使 2025 年报告的加密货币黑客事件总额增至 23 亿美元，其中包括 Nobitex 和 Bybit 的重大安全事件。
- 朝鲜黑客及“杀猪盘”等诈骗手段继续主导全球加密货币犯罪格局。
一名黑客在周四早些时候发现了 Resupply 去中心化金融 (DeFi) 协议中的一个漏洞，帮助他们转移了近 960 万美元的数字资产。据报道，攻击者通过智能合约漏洞操纵了代币价格。
根据区块链安全分析师的说法，Resupply 是一个与 Convex Finance 和 Yearn Finance 集成的 DeFi 稳定币平台，是此次漏洞的主要目标。攻击者对 cvcrvUSD（一种与 Convex 挂钩的代币）使用了复杂的操纵价格策略，欺骗系统并使用几乎毫无价值的抵押品获得贷款。
智能合约错误导致汇率为零
漏洞的主要发现位于 ResupplyPair 合约，该合约于周四部署在以太坊地址 “0x6e…6bd6″。该合约使用 cvcrvUSD 的价格来计算抵押借贷的内部汇率。
又是另一个通过低流动性——甚至是空——市场的汇率操纵而被利用的借贷协议！
具体而言，攻击者通过捐赠人为推高 #cvcrvUSD 的股价。 @ResupplyFi 的 ResupplyPair 合约（https://t.co/yo2N5lScHi，约 2 小时前创建）利用… https://t.co/MelEYFLr98 pic.twitter.com/2qXC9IiREL
— BlockSec Phalcon (@Phalcon_xyz) 6月 26, 2025
攻击者利用了这种依赖性，通过协调捐赠交易人为推高 cvcrvUSD 代币的价格。当代币价值飙升时，ResupplyPair 合约中的价格输入也随之飙升。
然而，协议代码中的一个缺陷，特别是使用向下取整除法，导致一旦价格超过测量阈值，汇率就会向下舍入为零。
由于汇率设为零，攻击者仅使用 1 wei 的 cvcrvUSD 作为抵押品，就能借出大量 Resupply 的原生稳定币 reUSD。依赖此汇率的平台偿付能力检查实际上被绕过了。
“攻击者操纵代币价格，触发 Resupply 智能合约中的错误（零汇率），使他们能够以几乎为零的成本借出大量资金,” 区块链风险公司 Cyvers 的高级安全运营主管 Hakan Unal 解释道。
使用 Tornado Cash 进行交易匿名
区块链活动显示，黑客最初通过 Tornado Cash 为其钱包注资，Tornado Cash 是一个去中心化隐私协议混币器，犯罪分子利用它来隐藏资金来源。根据区块链安全公司 PeckShield 的分析，攻击的入口点是一笔涉及 2 ETH 的 Cow Swap 交易。
漏洞发生后，他们通过将 reUSD 转换为稳定币和以太坊，在 Curve 和 Uniswap（均为去中心化交易所）上清算了被盗资产。
960 万美元的利润分拆到两个单独的以太坊地址中。攻击者使用 USDC 和封装以太坊 (wETH) 来存储最终收益。
当天晚些时候，Resupply 确认了漏洞，并承认该漏洞影响了其 wstUSR 市场。该平台立即暂停了所有合约以防止进一步损失。
“用户应避免使用 reUSD 金库，并在可能的情况下提取资金,” Unal 建议使用该协议的投资人。
加密货币相关黑客攻击在 2025 变得猖獗
Resupply 的漏洞加剧了一系列针对去中心化金融和中心化平台的高价值黑客攻击。区块链取证公司 Chainalysis 报告称，自 2025 年初以来，加密货币黑客攻击中被盗金额已超过 23 亿美元，这一数字在年中就已超过去年的总数。
就在 Resupply 事件前几天，6 月 18 日，伊朗加密货币交易所 Nobitex 遭受 遭受了毁灭性的漏洞。黑客从包括比特币、以太坊、狗狗币、瑞波币、Solana、Tron 和 Ton 在内的多个区块链中窃取了超过 9000 万美元的数字资产。
先前的调查已将 Nobitex 上的钱包与与伊斯兰革命卫队 (IRGC) 有关联的行为者联系起来，并与也门胡塞武装和哈马斯行动者有关的网络联系起来。
以色列国家反恐怖融资局 (NBCTF) 将该平台确定为向几个受制裁实体提供资金的渠道。这些实体包括亲哈马斯的媒体机构 Gaza Now、据称是基地组织的宣传部门，以及受制裁的俄罗斯加密货币交易所 Garantex 和 Bitpapa。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
