安全研究人員指出，Stake DAO 正在遭受持續的攻擊，攻擊者鑄造了數兆個 vsdCRV

Stake DAO 是一家專注於自動化收益策略的 DeFi 平台，正面臨持續的漏洞攻擊，週三多家區塊鏈安全公司報告了此事。

PeckShield 表示，目前已有部分代幣被兌換為 43.78 ETH（91,000 美元），並已跨鏈至 Ethereum。

vsdCRV，即 vote-boosted sdCRV，是與 Curve Finance 生態系統相關的收益衍生代幣，並用於 Stake DAO 平台內。

研究人員表示，疑似根本原因是 Stake DAO 部署者私鑰遭到泄露。

此次漏洞事件延續了 DeFi 爆發史上最惡劣的時期之一，這似乎受人工智慧技術進步的推動，自四月以來已有數十個協議被駭，損失超過 600 百萬美元，其中以 Kelp DAO 的 292 百萬美元漏洞為首。週二，密碼安全公司 OpenZeppelin 的 Manuel Aráoz 表示，他認為「所有 DeFi 都不安全」，並指出攻擊者與防禦者之間的非對稱性。

Sodot 共同創辦人兼首席產品官 Shalev Keren 向 The Block 表示，Stake DAO 漏洞在結構上與上月的 Wasabi 事件，以及今年幾起部署者私鑰泄露事件類似。

Keren 表示：「Arbitrum 上的 Stake DAO 部署者私鑰被用來重新指向 vsdCRV 跨鏈橋的配置，指向攻擊者控制的 Ethereum 合約，約二十五秒後，該合約發送了一個 LayerZero 訊息回來，導致合法的 Arbitrum 代幣在鏈上鑄造了超過五兆枚 vsdCRV 給攻擊者，攻擊者現正將其兌換成 ETH。這裡不存在任何智能合約漏洞，也沒有 LayerZero 的缺陷，只有一支私鑰控制著一個具有特權的配置函式，沒有多重簽名，也沒有配置更改通過後與鑄造上鏈之間的延遲。」

Keren 補充，這起事件凸顯了操作安全的更廣泛問題，以及與已審計 DeFi 協議綁定的部署者特權集中度。

此案仍在持續更新中。