一名攻击者在短短 11 分钟内，从 XPR Network (XPR) 的多支流动性池中抽走逾 900 万美元资金，方法是利用一份允许“负数取款”的兑换合约逻辑漏洞。

XPR Network 兑换合约被精确狙击

此次攻击指向网络上的链上兑换合约 proton.swaps。攻击者先在该合约中抽走约 15.6 亿枚 XPR，按当时市价约 403 万美元。
合约的取款函数允许填写负数金额，攻击者由此反复“做大”内部记账余额，再按该虚高余额提取真实代币。该手法随后被扩散到稳定币池、跨链资产池及借贷池等多个场景，累计损失金额突破 900 万美元。

其中约 5.63 亿枚 XPR（约合 146 万美元）流入借贷协议，攻击者以窃取的稳定币作抵押继续借出 XPR，使被“染色”的代币总量增至约 21.2 亿枚，占流通供应约 6.5%。
后续又有约 7.64 亿枚 XPR（约 200 万美元）被转入第二个地址。

XPR 价格跌破关键支撑

资金被抽离数小时后便开始反映到市场价格。周日，XPR 在 Bybit 报价 一度跌至约 0.00245 美元，24 小时跌幅约 5.6%，随后回升至 0.0026 美元附近，仍明显失守此前充当支撑的 0.00271 美元关口。
当日盘中该币最高曾触及 0.00277 美元，整体市值跌至约 7400 万美元。

RSI 指标 下探至 27.47，深陷超卖区间，显示抛压单边宣泄而非温和重定价。当日成交额约 290 万美元，买盘承接力度偏弱。

与今年 DeFi 最大损失案例相比，此次损失金额并不算突出，但“失控模式”更具警示意义：仅仅因为缺少对输入数值的边界检查，一个减号就让风险从单一兑换合约外溢至多个共享流动性的借贷池与跨链资产池。
攻击过程无需闪电贷，也不依赖预言机操纵，只是利用了一个未被拒绝的负号。

Metallicus 出手冻结被盗 XPR

区块生产者在协调后于世界标准时间 21:32 对合约进行紧急修补，并在约两小时后冻结约 18 亿枚 XPR，将代币转入社区控制之下。
在此次被波及的约 21.2 亿枚 XPR 中，仅有 3.195 亿枚真正跨出网络，进入外部场所或地址。

这意味着绝大部分涉案代币仍具备技术层面的可恢复空间。这一结果与 XPR Network 采用委托权益证明（DPoS）机制有关——少数经投票选出的区块生产者可以直接干预链上状态。
事实上，网络此前也曾动用这一“杠杆”。

作为 XPR Network 核心开发方的 Metallicus 此前在 2024 年 9 月披露其借贷合约遭遇重入攻击，随后暂停存款、借款与清算，冻结受影响资金，并在次月分阶段重新开放借贷业务。

本文链接地址：https://www.wwsww.cn/rbb/41221.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。