Resupply协议攻击事件的深度分析和思考

2025年7月03日 17:27

2025年6月26日，稳定币协议Resupply在Ethereum主网部署的合约遭受攻击，损失了约$10M的资产。由于相关合约的价格预言机（priceoracle）的实现方式存在问题，导致对于新创建的低流动性Market，攻击者可以通过donationattack操纵借出资产（Resupply发行的稳定币reUSD）的相对价格（即借出资产和抵押资产的兑换比例，exchangerate）使其为0，从而绕过资产健康度检查，借出大量reUSD获利。

BlockSec在全网最先公开预警后提供了初步分析[2,3]，Resupply在之后也发布了官方公告[4]，但对很多技术细节并未作详细阐述，本文将提供更为详尽的分析；另一方面，攻击发生后项目方及其相关方之间也发生了激烈的社区争议[5]，本文将深入分析并探讨该协议背后复杂的生态关联，供读者参考。背景 1.1 关于Resupply协议

Resupply是一个去中心化的稳定币协议[1]，属于Curve生态。Resupply所发行的稳定币叫做reUSD，这是一种由抵押债务头寸(CDP)支持的去中心化稳定币，由在外部平台的借贷市场赚取利息的其它稳定币---包括crvUSD和frxUSD---支持，用户可通过提供crvUSD和frxUSD借出reUSD，实现稳定币资产再融资。

1.2 如何判断用户是否有资格借出某种资产？

和一般的借贷协议类似，ResupplyMarket 也会对用户的头寸做资产健康度检查（通过modifierisSolvent）。

根据以上代码，可以得到exchangerate的计算公式如下：

其中：

最终，代入变量后得到price的计算公式如下：

为什么此时的_exchangeRate为0呢？因为攻击者通过之前的步骤，操纵合约达到了如下状态：

由于此时price>1e36，导致_exchangeRate=0。

6.将借出的reUSD兑换获利。经验教训

Resupply此次被攻击的Market中priceoracle实现类似Curve提供的模版合约[11]：

遗憾的是，Resupply协议在实现时似乎并未考虑这一适用性警告。关联关系和社区争议4.1 Curve生态五大项目的复杂关系网

要理解Resupply事件的深层影响，我们首先来看看Curve生态系统中五个核心协议之间的复杂关系：

上述相互关联的项目共同构成了一个高度耦合的生态系统---在这样的系统中，任何环节出现问题都可能引发连锁反应。因此，Resupply攻击事件引发社区对协议关联性与安全性的广泛讨论[5]，也就不足为奇了。更多思考5.1 时间线

2025年5月17日，Resupply官方地址0x1f84通过Curve的OneWayLendingFactory部署了一个新的LlamaLendMarket[6]，其中：

该Market将crvUSD作为借贷资产，并以wstUSR作为抵押Tokens。

ERC-4626Vault合约为0x0114，对应的Controller为0x8970。

2025年5月31日，一个新的提案wstUSR-longLlamaLendMarket[7]在Resupply的治理页面上线，该提案旨在允许用户通过该LlamaLendMarket铸造reUSD。

2025年6月11日，该提案在链上发布[8]。

2025年6月26日00:18:47(UTC)，该提案获得通过，Resupply官方地址0x0417在链上部署了[9]一个新的ResupplyPair（即ResupplycrvUSD/wstUSRMarket）0x6e90，该Market：

绑定了Vault0x0114和Controller0x8970。

以Vault的抵押债务头寸（即cvcrvUSD，其标的资产为crvUSD）作为抵押品。

2025年6月26日01:53:59(UTC)，即在Market0x6e90部署上链约1.5小时之后，攻击者成功实施攻击[4]；与此同时BlockSec检测到攻击并尝试联系项目方。

2025年6月26日02:26(UTC)，项目方未果并确认无法造成更多损失后，BlockSec发布公开预警[2]。

2025年6月26日02:53:23(UTC)，项目方暂停协议[4]。

这不是事后的马后炮，而是攻击发生的那一刻就响起的警钟。

通过在内存池阶段监控交易，Phalcon能够在攻击交易进入内存池的瞬间就识别异常模式。系统基于AI驱动的智能分析引擎，整合了200多个典型攻击特征，在过去半年中保持了小于0.0001%的超低误报率，实现了真正意义上的精准威胁检测。

当威胁被识别后，Phalcon的自动化攻击阻断机制会立即启动。系统利用独家开发的Gas竞价策略，确保防护交易能够抢跑攻击交易，同时自动触发协议的紧急暂停功能。整个响应过程支持EOA、多签钱包等多种权限控制模式，为不同类型的协议提供灵活的安全解决方案。

如果Resupply在Market部署时就集成了Phalcon系统，攻击本可完全避免：

在Market0x6e90部署完成后的1.5小时内，Phalcon系统会自动检测到新Market的部署，智能分析其配置参数，识别出潜在的donationattack风险。系统会立即向项目方发送风险预警，建议增加初始流动性保护或调整相关参数。更关键的是，当攻击交易在01:53:59UTC进入内存池时，Phalcon的AI算法会立即识别出典型的donationattack模式，自动触发紧急暂停交易，通过Gas竞价确保防护交易优先执行，从而完全避免1000万美元的损失。

Resupply千万美元在内等无数攻击事件告诉我们，在DeFi的世界里，安全不是可选项，而是生存的必需品。不要等到下一次攻击才后悔。

免责声明:Resupply协议攻击事件的深度分析和思考文章转发自互联网，版权归其所有。
文章内容不代表本站立场和任何投资暗示。加密货币市场极其波动，风险很高，可能不适合所有投资者。在投资加密货币之前，请确保自己充分了解市场和投资的风险，并考虑自己的财务状况和风险承受能力。此外，请遵循您所在国家的法律法规，以及遵守交易所和钱包提供商的规定。对于任何因使用加密货币所造成的投资损失或其他损失，本站不承担任何责任。

南宫28

Resupply协议攻击事件的深度分析和思考

元宇宙最新

元宇宙热门