XPR网络遭遇重大安全漏洞：攻击者在11分钟内盗取超900万美元资产
一名攻击者利用XPR Network（XPR）流动性池中对冲合约中的缺陷，在短短11分钟内盗取了超过900万美元的资金。该漏洞存在于一个允许接受负数提款金额的函数中，攻击者借此机会虚增内部余额，随后提取真实代币。
关键要点
- 攻击者在约11分钟内从XPR Network的流动性池中抽走了超过900万美元。
- 漏洞位于提款功能中，该功能错误地接受了负数值，使攻击者能够在提取真实代币前 inflate 内部余额。
- 区块生产者对合约进行了修补并扣押了约18亿枚XPR，使得大部分被盗资金仍保留在链上状态。
XPR网络交换合约遭劫持详情
此次攻击针对的是网络内的链上交换合约“proton.swaps”。攻击者从中抽走了价值约403万美元、约合15.6亿枚XPR。由于该合约的提款功能未对负值进行限制，攻击者得以通过输入负数来夸大其内部账户余额，进而兑换出真实的代币。这一手法被反复应用于稳定币池、桥接资产池及借贷池中，最终导致总损失突破900万美元大关。
随后，约有5.63亿枚XPR（价值约146万美元）通过借贷协议流转。攻击者以被盗的稳定币作为抵押品进行借款，使得受影响的代币总量达到约21.2亿枚，约占流通供应量的6.5%。此外，另有约7.64亿枚XPR（价值近200万美元）后来转移至第二个账户。
市场反应与技术分析
随着资金流失的消息传出，市场迅速做出反应。周日，XPR价格跌至约0.0026美元，24小时内跌幅约为5.6%，盘中最低触及0.00245美元附近，且持续低于此前作为支撑位的0.00271美元水平。尽管在同一交易时段早些时候曾最高触及0.00277美元，但其市值已降至约7400万美元。
相对强弱指数（RSI）跌至27.47，进入深度超卖区域。这一读数表明市场呈现单边抛售态势，而非有序的价格重估。当日约290万美元的交易量显示买方力量薄弱，市场缺乏承接盘。
修复措施与后续影响
虽然此次损失的绝对金额不及今年最大的DeFi安全事故，但其暴露出的技术风险更为严峻。问题的核心在于缺少对输入值的单一检查，导致损害从一个单一的交换合约蔓延至共享相同流动性基础的借贷和桥接资产池中。攻击者无需使用闪电贷或操纵预言机，仅需利用合约未能拒绝的负号即可达成目的。
针对此事件，区块生产者在协调时间（UTC）21:32对合约进行了修补，并在大约两小时后扣押了约18亿枚XPR，将这些代币置于社区控制之下。在受影响的21.2亿枚代币中，仅有3.195亿枚成功流出至网络外部交易平台。因此，大部分受影响资产仍具有可回收性。这一结果得益于XPR Network采用的委托权益证明（DPoS）机制，在该机制下，少数当选的生产者可以直接干预链上状态。此前该网络也曾采取类似手段应对安全风险。
值得注意的是，XPR Network的核心开发团队Metallicus曾在2024年9月报告过其借贷合约遭受的重入攻击。当时团队暂停了存款、借款和清算功能，冻结了相关资金，并于次月分阶段重新开放了借贷服务。
