Troves：xWBTC/WBTC 金库遭攻击，初步损失约 8.6 枚 BTC
BTCFi 协议 Troves 于 2026 年 10 月 31 日发文表示，其在 Starknet 上的 xWBTC/WBTC 金库遭遇攻击，初步估计损失约 8.6 枚 BTC。Troves 称，根据目前调查，攻击范围仅限于该金库，其他 Troves 金库暂未发现受到影响。
Troves 表示，此次攻击涉及一份已被替换但仍保留权限的旧版再平衡合约。团队已撤销相关合约权限，并出于安全考虑暂停受影响及可能存在风险的金库。后续更新称，在发现攻击后约 40 分钟内，已撤销该脆弱旧合约及 LST 金库上的全部再平衡权限；作为预防措施，目前暂停了 xWBTC/WBTC、xSTRK/STRK 与 xstrkBTC/strkBTC 三个金库。
Troves 称正与安全合作伙伴追踪被盗资金并评估追回方案，后续将公布详细事件复盘及受影响存款用户的处理方案。团队已通过链上消息向攻击者提出白帽赏金方案，承诺在归还剩余资金后支付 1 枚 WBTC 作为奖励；相关链上信息提及损失约 8.57 WBTC 等值，赏金报价有效期至 2026 年 11 月 3 日 23:59 UTC。
原始来源：
标题：We identified an exploit affecting the Troves xWBTC/WBTC vault on October 31... 发布者：Troves (@trovesfi) 发布日期：2026-10-31 URL：https://x.com/trovesfi/status/2116541963755475375 来源性质：当事人原帖 核验情况：本次读取原帖及后续更新帖，核验日期 2026-11-01 支持内容：攻击确认、初步损失约 8.6 BTC、限于 xWBTC/WBTC 金库、旧版再平衡合约仍保留权限、撤销权限并暂停相关金库、后续将发复盘
ABAB AI 解读
Troves 是运行于 Starknet 的 BTCFi 协议，专注于自动化 DeFi 收益策略，包括 LST 与流动性提供类金库。其官方帖文确认此次事件源于一份已被替换的旧版再平衡合约仍保留权限，属于访问控制未完全清除的典型智能合约治理问题。团队在发现后约 40 分钟内撤销相关权限，并将三个金库（xWBTC/WBTC、xSTRK/STRK、xstrkBTC/strkBTC）预防性暂停，显示响应速度较快，但旧合约权限残留本身暴露了升级流程中的权限清理缺口。
Troves 在链上消息中将初步损失表述为约 8.57 WBTC 等值，并向攻击者提出 1 WBTC 白帽赏金（约损失的 11%–12%），条件为返还剩余资金，报价有效期至 11 月 3 日。这种公开链上谈判与白帽回报模式在近年 DeFi 事件中并不少见，但赏金比例相对保守；返还地址与联系方式已在交易数据中明确列出。截至核验，资金是否返还或攻击者是否回应尚未有进一步公开确认。
与其他 DeFi 金库或再平衡合约相关事件相比，本次攻击依赖的是“替换后权限未撤销”而非代码逻辑漏洞或预言机操纵。类似权限残留问题曾在多个协议升级中出现，通常导致攻击窗口短暂但可被快速关闭。Troves 当前将影响限定于单一金库并主动暂停关联金库，有助于限制扩散，但预防性暂停本身也会暂时影响相关策略的资金进出。
此次事件改变了 Troves xWBTC/WBTC 金库的直接可用性，并使协议需在复盘中说明旧合约清理流程与用户补偿安排。1 WBTC 赏金能否促成返还，取决于攻击者对法律与声誉风险的评估；若未返还，协议需通过安全伙伴追踪与可能的链上冻结手段评估追回空间。观察指标包括受影响金库是否恢复、复盘报告是否披露具体交易哈希与权限残留原因，以及返还地址是否收到资金。
ABAB News · 认知定律
已替换的旧合约若未彻底撤销权限，仍可成为金库资金被提取的入口。
约 40 分钟内完成权限撤销与预防性暂停，显示响应速度，但无法消除权限残留本身的风险。
1 WBTC 白帽赏金约占初步损失的 12%，报价有效期有限，返还结果仍取决于攻击者选择。