在攻击者利用其处理 TRON 交易备注的方式后，Chainflip 通过六笔未经授权的付款损失了 736,442.17 USDT。
摘要
- Chainflip 报告称，与其 TRON 集成漏洞相关的六笔未经授权付款导致 736,442.17 USDT 损失。
- 攻击者在大约九十分钟内使用篡改后的交易备注，将同一笔存款重复了八次。
- 一笔价值 115,654.41 USDT 的待处理兑换仍未支付，其资金仍留在 Chainflip 的金库中。
- Chainflip 已完成修复，但表示运营最早要到周一才会恢复。
- 该协议承诺赔偿，但其最终赔付方式和技术报告仍未公开。
Chainflip 在 9 月 13 日的事件更新中表示，此次攻击在 9 月 12 日凌晨针对其 TRON USDT 集成。该跨链协议暂停了运营，同时其开发者调查这些交易并准备修复方案。
一笔价值 115,654.41 USDT 的合法用户兑换仍未支付。Chainflip 表示，这些资金仍存放在其金库中，可在网络重启后释放。该协议报告称，没有其他资金受到影响。
损失数字和攻击顺序代表了 Chainflip 目前的调查结果。截至 9 月 13 日，尚未发布任何确认完整说法的独立安全评估。
Chainflip 的 TRON USDT 集成对存款进行了两次支付
Chainflip 使用交易备注来读取附加在 TRON 转账上的兑换指令。在大多数其他支持的区块链上，该协议通过专用合约函数接收指令。
根据事件报告，攻击者找到了一种方法，可以在 Chainflip 验证者已经签名的交易上附加新的备注。Chainflip 的系统将添加的备注解释为单独的兑换指令。当新指令似乎失败时，该协议发出了退款。
原始存款已经产生了一笔付款。因此，处理被篡改的备注导致 Chainflip 针对同一笔存款进行了第二次支付。
Chainflip 将这一缺陷归因于其自身对 TRON 交易备注的处理。该协议没有报告 TRON 区块链、USDT 智能合约或 Tether 储备系统遭到入侵。
攻击者在大约 90 分钟的时间内重复了该方法八次。Chainflip 表示，早期尝试使用了小额资金。之后的每次尝试金额都接近前一次的两倍。
只有六次尝试产生了未经授权的付款，总计 736,442.17 USDT。该协议在其初步报告中没有公布单笔交易哈希、目标钱包地址或六笔付款的明细。
失败的 USDT 付款暴露了此次攻击
Chainflip 在随后的 USDT 付款开始失败后发现了该事件。开发者随后将失败追溯到通过篡改备注重复处理存款。
该协议暂停了网络活动，以检查该弱点是否可能影响其他资产或集成。其初步审查发现，该漏洞利用仅限于 TRON USDT，其余金库资金是安全的。
Chainflip 将此次事件描述为其首起涉及从协议金库中取走资金的严重安全事件。据该项目称，此前的运营问题并未从这些金库中造成可比损失。
网络暂停阻止了兑换在开发者准备重启期间完成。Chainflip 没有报告因停机而中断交易的用户遭受单独损失。
其他区块链服务曾在开发者排查安全故障期间使用过紧急暂停措施。在相关报道中，crypto.news 报道称 Liquid Network 在一次紧急更新后恢复了区块生产，而在据报发生 3.2 亿美元提款后，转账和锚定操作仍受到限制。
Chainflip 尚未发现这两起事件之间存在关联。Liquid Network 的报道涉及另一条比特币侧链和一套不同的技术系统。
Chainflip 准备进行赔付和资产追回
Chainflip 表示受影响用户将获得全额补偿，尽管截至 9 月 13 日，该协议尚未选定或公布其赔付方式。团队表示仍有多个选项正在审查中。这笔未支付的 115,654.41 USDT 交易未被计入六笔未经授权的付款之中。其资金仍留在金库中，Chainflip 预计将在运营恢复后处理这笔兑换。
与此同时，该协议已就被盗资金通知相关方，以便在资金于地址和服务之间转移时追踪或追回这些收益。Chainflip 未透露相关方名称，未披露攻击者是否使用了中心化交易所，也未确认是否有任何 USDT 被冻结。
Tether 在依据适用法律或执法程序行事时，可以冻结持有其代币的地址。正如 crypto.news 在另一篇报道中所报道的，Tether 在一起无关的司法部行动中帮助美国当局限制了超过 5200 万美元的加密货币。
截至发稿时，尚未发现 Tether 或 TRON 就 Chainflip 攻击事件发表任何公开声明。Chainflip 的公告未说明这两个组织是否正在帮助追踪这些资金。
该协议计划在安全重启后开始弥补用户损失。其初步声明未设定付款日期，也未说明赔偿将来自国库资产、保险还是其他来源。
周一重启取决于技术部署
Chainflip 表示底层修复已经完成，但开发者仍需确定确切的重启程序。该网络将保持暂停，“最早直到周一”，这使得 9 月 14 日成为最早可能的恢复日期，而非已确认的启动时间。
在重新开放之前，团队计划最终确定一项技术重启方案，旨在避免进一步的处理问题。Chainflip 未披露验证者是否需要新软件、协调升级或治理投票。
一旦系统恢复，该协议预计将处理待处理的 115,654.41 USDT 兑换，并开始处理资金被支付给攻击者的用户的赔偿事宜。
Chainflip 表示，在重启方案确定且网络安全运行后，将发布完整的技术报告。该协议尚未宣布该报告的发布截止日期。
