黑客攻击Step Finance，窃取价值30百万美元的SOL

Step Finance是一个基于Solana的DeFi平台，处理该生态系统的投资组合管理、分析和仪表板，遭受了严重的安全漏洞，导致攻击者携款数百万美元逃脱。 

DeFi领域的金库在Solana或其他链上遭到攻击并不罕见；然而，此次攻击的规模再次引发了关于项目持有资金安全实践的辩论。 

Step Finance被黑客攻击 

根据 Step Finance团队 在X上，其多个金库和费用钱包在攻击中被 compromising，攻击者解质押并转移了约261,854 SOL至未知地址。 

在事件发生时，所有这些Solana的价格价值约为3,000万美元。团队在X帖子中声称正在进行调查，几小时后，他们联系网络安全公司寻求协助，鼓励受影响的用户或任何有能力帮助的人联系他们。 

帖子中的措辞表明，事件是针对协议金库钱包的定向入侵，而不是直接影响用户资金的智能合约漏洞。自攻击以来，Defillama显示Step Finance的TVL为零。 

虽然局势仍在发展中，但市场已经对此消息做出反应。根据Coingecko的数据，原生$STEP代币在撰写本文时已下跌约84%，价格徘徊在0.4241美元左右。 

最近的攻击针对管理员漏洞  

对Solana上DeFi协议的攻击并不新鲜，但最近的攻击似乎都有共同的向量，如金库钱包入侵、私钥泄露、访问控制缺陷和智能合约漏洞。 

Step Finance的漏洞遵循运营入侵的模式，其金库是目标而非用户资金。其他一些值得注意的近期与DeFi相关的黑客攻击具有类似的向量，包括 CrediX协议漏洞, Loopscale漏洞和Upbit Solana相关黑客攻击。

The CrediX 事件导致协议在入侵中损失450万美元，攻击者控制了管理员的钱包。此案与Step Finance目前的困境非常相似，因为它也不涉及直接的用户资金。然而，许多人希望事情会以不同于CrediX的方式结束，因为那是一场灾难。 

该团队曾承诺在漏洞利用发生后的1-2天内退款，声称已与黑客达成和解。然而，他们并未履行这一承诺，而是销声匿迹，删除了X（原Twitter）账号并关闭了网站，这引发了“撤池子跑路”（rugpull）的指控。 

Loopscale事件也采用了类似的攻击向量，在发布后不久因漏洞损失了超过500万美元，尽管最终与黑客达成了和解，以10%的赏金协议了结。

最受瞩目的攻击是 Upbit Solana相关黑客攻击, 该 事件 发生于2025年11月，导致韩国交易所从热钱包中损失超过3500万美元。该事件与提款权限控制不足有关，影响了Solana生态系统中的资产，重演了与国库和热钱包相关的风险。