稳定币DeFi银行Infini在攻击者保留管理员级别控制权后遭受4900万美元漏洞攻击

一名黑客从稳定币银行Infini中抽走了超过4900万美元的USDC。该漏洞可能是由于内部人员访问智能合约，开发人员在向Infini交付后保留了访问权限。 

对智能合约的管理员访问权限允许攻击者从稳定币DeFi银行Infini协议中抽走4900万美元。Infini本身尚未对漏洞作出反应，也未解释黑客行为的性质。Infini是一家加密货币卡发行商，接受稳定币抵押品以进行日常支付。 

Infini将其支付服务宣传为一家新银行，混合了加密货币和传统金融。该产品在过去几周吸引了500%更多的用户，因为它开始了其卡片活动。这家新银行还提供高收益理财产品，导致可用于攻击者的流动性增加。

正是这些收益产品创造了漏洞的条件，据报道资金来自 采取了 Morpho MEV Capital Usual USDC金库。Morpho尚未发出任何警告或报告损失的资金。

漏洞是在一个看似正常的鲸鱼 交易, 之后被注意到的，其中一个新钱包提取了锁定在合约中的所有资金。攻击者的钱包为Infini所知，因为该项目据报道命令攻击者创建智能合约。该项目不知道的是，攻击者保留了管理员权限，可以调用以抽走所有流动性。 

🚨警报🚨今天，@0xinfini遭受了4900万美元的$USDC漏洞攻击，原因是攻击者滥用了保留的管理权限。

攻击者（地址为0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1）最初作为Infini项目的一部分开发了该合约。然而，在……之后 pic.twitter.com/olguOyNCJr

— 🚨 Cyvers警报 🚨 (@CyversAlerts) 2月 24日, 2025

攻击者的即时行动是将USDC兑换成17,696 ETH。攻击者通过去中心化协议可用的DAI进行了转换。资金通过Uniswap、Sky Protocol和0x Protocol流动。尽可能快地从USDC兑换使黑客能够将资金转移到ETH，ETH无法被冻结，只能被交易所列入黑名单。

之后，攻击者将收益分成较小的金额和多个地址。攻击者使用新钱包发送少量ETH作为gas费并完成交易。钱包的初始资金来自Tornado Cash，掩盖了黑客部分链上存在。

之后，ETH通过一系列转账移动。在撰写本文时，资金尚未混合。 

朝鲜黑客再次出手了吗？

合约创建者的身份仍然未知，因为Infini尚未透露是谁被命令构建智能合约。 

Infini黑客事件紧随2025的最大漏洞之后，其中 Bybit交易所 损失了高达15亿美元的以太坊（ETH）。Bybit黑客采用了类似的拆分ETH然后混合的方法。链上调查员ZachXBT指出了多个例子，表明这种方法之一是Lazarus黑客组的标志性动作。目前，Infini尚未将任何攻击者的钱包与其他已知的Lazarus地址联系起来。 

此次未发生私钥泄露，Infini 也未停止提币和充值。 

Infini 创始人 @christianeth 对此次漏洞事件承担全部责任，表示其在从开发者向项目方转移权限的过程中存在疏忽。创始人向用户保证，该协议仍保持流动性，在最坏情况下将提供全额赔偿。 

“我的个人私钥并未泄露，因此无需过度担忧。此前在转移权限时我存在疏忽，最终责任在我。这也敲响了警钟……流动性没有问题，可以全额赔偿，资金正在追踪中。” 另一篇帖子中 X 平台上的 @christianeth。

其他链上分析显示可能存在私钥泄露，导致黑客能够访问合约。PeckShield 指出，这位工程师出身的黑客已被 确定. 攻击发生后，Infini 联合创始人之一 @0xsexybanana， 删除 了她的 X 账号。此次盗窃案疑似为内部人员攻击，因为该工程师拥有足够的信任度来创建智能合约。 

最近的漏洞利用和 ETH 囤积引发了关于利用该链进行洗钱和潜在敌对政权融资的质疑。与此同时，这些漏洞催化了一波小幅 ETH 反弹，该资产价格首次在一周内突破 2,800 美元。ETH 的损失意味着交易所必须收回储备，从而带来了额外的需求。