安全公司Salus發帖稱，自稱X Money出金橋的項目Revenue Family涉及惡意授權轉走USDG
安全公司Salus發帖稱，自稱X Money出金橋的項目Revenue Family涉及惡意授權。作惡者提交用戶permit簽名，取得USDG無限額度後，在同一筆交易內調用transferFrom轉走資金。
資金按二八比例流入兩個黑客地址。Salus未公佈被轉走的總金額、受影響地址數，也未公佈兩個接收地址。授權與轉出被包在同一筆交易裏，用戶簽名後額度立即被使用。
該項目10月1日稱，社媒賬號遭內部審覈人員盜用，已暫停兌換，並否認REV是官方代幣。10月2日又發帖稱，自己從未向用戶收款或挪用資金，指責來自與其無關的假代幣。賬號簡介寫着從X Money出金、兌換加密資產、無需身份認證，賬號於2026年9月26日註冊。
permit是代幣標準裏的離線授權。簽名本身不轉幣，但無限額度允許被授權地址隨後調用transferFrom。Salus描述的路徑是先拿無限USDG額度，再在同一交易裏轉出，資金不再留在原地址。
項目把自己標成X Money出金橋，不是X官方公告的通道。REV被項目方否認後，剩餘風險落在已簽出的USDG授權上。暫停兌換隻停止項目側兌換，不自動撤銷用戶已經給出的額度。
資金從用戶的USDG餘額流向兩個黑客地址，比例爲八成和二成。事件驅動是出金橋名義下的簽名，不是公開市場拋售。受益方是拿到80%和20%分成的兩個地址，承壓方是簽下無限額度、兌換又被暫停的USDG持有人。
Salus未說明USDG發行方是否凍結相關地址，也未給出可撤銷授權的官方入口。
來源：公開信息
ABAB AI 解讀
Revenue Family把賬號註冊放在2026年9月26日，簡介直接寫成X Money出金橋，並寫明無需身份認證。10月1日它把賬號異常歸到內部審覈人員盜用，同時暫停兌換、否認REV爲官方代幣；10月2日又說從未收款，損失來自無關假代幣。Salus的帖子把路徑寫成permit簽名、USDG無限額度和同一交易內的transferFrom。
錢沒有進項目金庫再延遲結算，而是按八成和二成直接進兩個地址。無限額度意味着一次簽名覆蓋餘額上限，暫停兌換不能撤回已經簽出的許可。X Money沒有發佈公告把這條橋列爲官方通道，流量來自賬號自稱。
可比的是2022年跨鏈橋釣魚站，以及後來用Permit2簽名在同一交易裏轉走代幣的授權盜幣。項目所處階段不是產品上線，而是名義借用。新的支付品牌還沒有公開出金接口，第三方賬號先佔住“出金橋”三個字。
本質是定價權轉移。用戶以爲籤的是兌換許可，鏈上執行的是無限轉賬權。機制是permit把授權從鏈上確認改成離線簽名，攻擊者把transferFrom塞進同一筆交易，分成比例只說明兩個地址如何分賬，不改變資金已經離開原持有人。官方否認REV，撤不回已籤的USDG額度。
ABAB News · 認知定律
簽名給的是額度，不是兌換回執。
暫停兌換，撤不回已經簽出的授權。
新支付品牌還沒接口時，橋的名字先被佔用。