Chainflip 遭 TRON Memo 漏洞攻击损失 73.6 万美元 USDT，网络暂停并承诺补偿

导语：Chainflip 在 9 月 13 日的事件更新中披露，其 TRON USDT 集成遭到交易备注（memo）漏洞利用，攻击者通过六笔未授权支付造成 736,442.17 USDT 损失。协议已暂停网络运营，并承诺补偿受影响用户。

事件经过

Chainflip 表示，攻击发生在其 TRON USDT 集成的 9 月 12 日凌晨。该协议在开发人员调查并准备修复方案期间暂停了运营。Chainflip 将问题归因于自身对 TRON 交易备注的处理，并未报告 TRON 区块链、USDT 智能合约或 Tether 储备系统遭到入侵。

Chainflip 使用交易备注读取附加在 TRON 转账上的兑换指令。在其支持的大多数其他区块链上，协议通过专用合约函数接收指令。

报告称，攻击者找到一种方法，在 Chainflip 验证者已经签名的交易上附加新备注。Chainflip 系统将新增备注解释为另一笔独立兑换指令。当新指令似乎失败时，协议发出退款。由于原始存款已经产生付款，处理被篡改备注导致 Chainflip 对同一笔存款再次付款。

攻击者在大约 90 分钟内重复该方法八次。Chainflip 表示，早期尝试使用小额资金，之后每次尝试金额接近前一次的两倍。只有六次尝试产生未授权支付，总额为 736,442.17 USDT。

初步报告未公布单笔交易哈希、目标钱包地址或六笔付款明细。Chainflip 是在后续 USDT 付款开始失败后检测到事件，并将失败追溯到存款通过被篡改备注被重复处理。协议暂停网络活动，以检查弱点是否影响其他资产或集成。初步审查发现，漏洞仅限于 TRON USDT，剩余金库资金安全。

Chainflip 将该事件描述为其首次涉及资金从协议金库被取走的关键安全事件。

一笔价值 115,654.41 USDT 的合法用户兑换仍未支付。Chainflip 表示，这些资金仍存放在其金库中，可在网络重启后释放。该未支付兑换未被计入六笔未授权支付。

网络暂停导致开发人员准备重启期间无法完成兑换。Chainflip 尚未报告因停机导致交易中断的用户产生单独损失。截至 9 月 13 日，尚未发布确认完整说法的独立安全评估。

Chainflip 表示将全额补偿受影响用户，但截至 9 月 13 日尚未选择或公布赔付方式。团队称仍有多个选项在评估中。

该协议已通知相关方有关被盗资金的情况，以努力在资金于地址和服务之间转移时追踪或追回。Chainflip 未披露相关方名称，未说明攻击者是否使用中心化交易所，也未确认是否有任何 USDT 被冻结。

Tether 可在适用法律或执法程序下冻结持有其代币的地址。截至发稿时，尚未发现 Tether 或 TRON 就 Chainflip 攻击发表公开声明。Chainflip 的通知未说明这两个组织是否正在帮助追踪资金。

该协议计划在安全重启后开始覆盖用户损失。其初步声明未设定付款日期，也未说明补偿将来自金库资产、保险还是其他来源。

Chainflip 表示底层修复已经完成，但开发人员仍需确定确切的重启程序。网络将至少暂停至周一，因此 9 月 14 日是最早可能的恢复日期，而非确认启动时间。

重新开放前，团队计划敲定技术重启方案，以避免进一步处理问题。Chainflip 未披露验证者是否需要新软件、协调升级或治理投票。

系统恢复后，协议预计将处理待处理的 115,654.41 USDT 兑换，并开始处理资金被支付给攻击者的用户补偿。Chainflip 表示，在重启计划确定且网络安全运行后，将发布完整技术报告。该报告尚未公布发布时间。