一名黑客从 Infini 稳定币银行窃取了超过 4900 万美元的 USDC。此次攻击可能是由于内部人员获得了智能合约的trac权限，该开发人员在将智能合约交付给 Infini 后仍然保留了访问权限。.
攻击者利用对智能trac的管理员权限，从稳定币去中心化金融 DeFi 银行Infini协议中窃取了4900万美元。Infini本身尚未对此漏洞做出回应，也未解释此次攻击的性质。Infini是一家加密货币卡发行商，接受稳定币抵押以进行日常支付。.
Infini 将其支付服务宣传为一家融合加密货币和传统金融的新型银行。在过去几周，随着其信用卡推广活动的启动，该产品的用户数量增长了 500%。这家新型银行还提供高收益的盈利产品，导致可供投机者使用的流动性增加。.
正是这些收益型产品为此次攻击创造了条件，据报道，资金是被盗取的。Morpho 尚未发布任何警告或报告资金损失。
该漏洞是在一笔看似普通的巨鲸交易，交易中一个新钱包提取了合约中锁定的所有资金trac攻击者的钱包地址为Infini所知，据报道，该项目曾指示攻击者创建智能合约trac项目方并不知道，攻击者保留了管理员权限，可以调用命令来抽空所有流动性。
🚨警报🚨今天， @0xinfini遭受了价值 4900 万美元的 $USDC漏洞攻击，原因是攻击者滥用了保留的管理权限。
攻击者使用 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1 这个 IP 地址，最初是作为 Infini 项目的一部分开发了这个合约。然而，之后trac pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 2025年2月24日
攻击者立即采取的行动是将USDC兑换成17,696个ETH。攻击者通过DAI进行交易，DAI可通过去中心化协议获得。资金经由Uniswap、Sky Protocol和0x Protocol进行转移。尽快将USDC兑换成ETH，使得黑客能够将资金转移到ETH上。ETH不会被冻结，只会被交易所列入黑名单。.
之后，攻击者将赃款拆分成小额款项，并分别发送到多个地址。攻击者使用一个新钱包发送少量 ETH 作为 gas 费用，完成了交易。该钱包的初始资金来自 Tornado Cash，这在一定程度上掩盖了黑客在链上的活动。.
之后，这些以太坊经过一系列转账转移。截至发稿时，这些资金仍未混合。.
朝鲜黑客再次发动攻击了吗？
trac创建者的dent仍然未知，因为 Infini 没有透露是谁奉命创建了这份智能trac。.
Infini 遭黑客攻击事件紧随 2025 年最大的Ethereum Bybit 交易所损失高达 15 亿美元的ETH。Bybit 黑客也采用了类似的策略，即在混合前拆分 ETH。链上调查员 ZachXBT 指出，这种策略是 Lazarus 黑客组织的标志性手法之一。目前，Infini 尚未将任何攻击者的钱包与已知的 Lazarus 地址关联起来。
这一次，没有私钥泄露，Infini也没有停止提款和存款。.
Infini 的创始人 @christianeth 承担了此次漏洞的全部责任，并表示他在开发者向项目方转移权限的过程中存在疏忽。创始人向用户保证，该协议仍然有效，即使在最坏的情况下，也会给予全额赔偿。.
“我的私钥没有泄露，所以大家不必过于担心。之前我转移权限时犯了疏忽，最终是我的责任。这件事已经敲响了警钟……资金流动性没有问题。可以全额赔偿，资金正在trac中。” @christianeth 在 X 上 写道
其他链上分析显示可能存在私钥泄露，这使得黑客能够访问该合约trac指出，这名工程师出身的黑客已被确认dent。攻击发生后，Infini 的联合创始人之一 @0xsexybanana删除了她trac因此此次盗窃事件疑似为内部攻击。
近期以太坊（ETH）的恶意攻击和囤积行为引发了人们对该区块链可能被用于洗钱和为敌对政权提供资金的担忧。与此同时，这些攻击也刺激了以太坊的小幅反弹，使其价格数周以来首次突破2800美元。以太坊的损失意味着交易所需要收回其储备，从而导致了额外的需求。.
