Troves：xWBTC/WBTC 金庫遭攻擊，初步損失約 8.6 枚 BTC
BTCFi 協議 Troves 於 2026 年 10 月 31 日發文表示，其在 Starknet 上的 xWBTC/WBTC 金庫遭遇攻擊，初步估計損失約 8.6 枚 BTC。Troves 稱，根據目前調查，攻擊範圍僅限於該金庫，其他 Troves 金庫暫未發現受到影響。
Troves 表示，此次攻擊涉及一份已被替換但仍保留權限的舊版再平衡合約。團隊已撤銷相關合約權限，並出於安全考慮暫停受影響及可能存在風險的金庫。後續更新稱，在發現攻擊後約 40 分鐘內，已撤銷該脆弱舊合約及 LST 金庫上的全部再平衡權限；作爲預防措施，目前暫停了 xWBTC/WBTC、xSTRK/STRK 與 xstrkBTC/strkBTC 三個金庫。
Troves 稱正與安全合作伙伴追蹤被盜資金並評估追回方案，後續將公佈詳細事件覆盤及受影響存款用戶的處理方案。團隊已通過鏈上消息向攻擊者提出白帽賞金方案，承諾在歸還剩餘資金後支付 1 枚 WBTC 作爲獎勵；相關鏈上信息提及損失約 8.57 WBTC 等值，賞金報價有效期至 2026 年 11 月 3 日 23:59 UTC。
原始來源：
標題：We identified an exploit affecting the Troves xWBTC/WBTC vault on October 31... 發佈者：Troves (@trovesfi) 發佈日期：2026-10-31 URL：https://x.com/trovesfi/status/2116541963755475375 來源性質：當事人原帖 覈驗情況：本次讀取原帖及後續更新帖，覈驗日期 2026-11-01 支持內容：攻擊確認、初步損失約 8.6 BTC、限於 xWBTC/WBTC 金庫、舊版再平衡合約仍保留權限、撤銷權限並暫停相關金庫、後續將發覆盤
ABAB AI 解讀
Troves 是運行於 Starknet 的 BTCFi 協議，專注於自動化 DeFi 收益策略，包括 LST 與流動性提供類金庫。其官方帖文確認此次事件源於一份已被替換的舊版再平衡合約仍保留權限，屬於訪問控制未完全清除的典型智能合約治理問題。團隊在發現後約 40 分鐘內撤銷相關權限，並將三個金庫（xWBTC/WBTC、xSTRK/STRK、xstrkBTC/strkBTC）預防性暫停，顯示響應速度較快，但舊合約權限殘留本身暴露了升級流程中的權限清理缺口。
Troves 在鏈上消息中將初步損失表述爲約 8.57 WBTC 等值，並向攻擊者提出 1 WBTC 白帽賞金（約損失的 11%–12%），條件爲返還剩餘資金，報價有效期至 11 月 3 日。這種公開鏈上談判與白帽回報模式在近年 DeFi 事件中並不少見，但賞金比例相對保守；返還地址與聯繫方式已在交易數據中明確列出。截至覈驗，資金是否返還或攻擊者是否回應尚未有進一步公開確認。
與其他 DeFi 金庫或再平衡合約相關事件相比，本次攻擊依賴的是“替換後權限未撤銷”而非代碼邏輯漏洞或預言機操縱。類似權限殘留問題曾在多個協議升級中出現，通常導致攻擊窗口短暫但可被快速關閉。Troves 當前將影響限定於單一金庫並主動暫停關聯金庫，有助於限制擴散，但預防性暫停本身也會暫時影響相關策略的資金進出。
此次事件改變了 Troves xWBTC/WBTC 金庫的直接可用性，並使協議需在覆盤中說明舊合約清理流程與用戶補償安排。1 WBTC 賞金能否促成返還，取決於攻擊者對法律與聲譽風險的評估；若未返還，協議需通過安全夥伴追蹤與可能的鏈上凍結手段評估追回空間。觀察指標包括受影響金庫是否恢復、覆盤報告是否披露具體交易哈希與權限殘留原因，以及返還地址是否收到資金。
ABAB News · 認知定律
已替換的舊合約若未徹底撤銷權限，仍可成爲金庫資金被提取的入口。
約 40 分鐘內完成權限撤銷與預防性暫停，顯示響應速度，但無法消除權限殘留本身的風險。
1 WBTC 白帽賞金約佔初步損失的 12%，報價有效期有限，返還結果仍取決於攻擊者選擇。