Troves 确认 xWBTC/WBTC 金库遭攻击，暂停三个金库
Troves 报告 Starknet 上 xWBTC/WBTC 金库初步损失约 8.6 枚 BTC，称已撤销旧合约及 LST 再平衡权限并暂停三个金库。目前未发现其他金库受影响；最终复盘和资金追回仍待确认。
- 披露时间
- 2026年10月31日
- 更新于 2026年11月3日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Starknet 上 Troves xWBTC/WBTC 存款人；xSTRK/STRK 和 xstrkBTC/strkBTC 也被预防性暂停
- crypto
- 在野利用
- 已发现
- Troves 确认发生攻击及初步损失，并非仅有原因不明的转账。
发生了什么
Panda Security 将攻击路径归因于已退役但仍拥有金库权限的再平衡合约。其收据分析称所查交易约有 6.32 WBTC 到达发送者；这并非对运营方约 8.6 枚 BTC 损失估算的完整核算。研究人员尚未确认具体漏洞函数及旧再平衡合约地址。厂商声明说明已采取遏制措施，不代表审计或赔付已完成。
11月3日来源更新： 此前无法读取的 Ethereum 交易 现已可读，包括输入数据。交易于 10月31日 14:49:59 UTC 从 0x91926046e148c66869d71B9Fa37306e82DDc8934 发出，即 Panda Security 分析中此前识别的追回地址。消息提出，在 2026年11月3日 23:59 UTC 前，将剩余资金扣除 1 WBTC 后归还，或归还等值 ETH，至该地址。联系渠道包括 Blockscan Chat、向该地址发链上回复，以及 security@troves.fi，并表示可讨论保密及法律保证。这些只是消息中的条款，不是已确立的法律豁免或还款证据。原始公开赏金短帖可印证 1 WBTC 提议；单靠此消息不能核验最终损失、更多钱包归属或已完成赔付。存款人不应为申领该赏金转账或签署新授权。
案发时间线
2026年10月31日
Troves 确认金库遭攻击，初步损失约 8.6 枚 BTC
10月31日 14:49 UTC
追回钱包的链上交易记录赏金条款
链上消息提出，11月3日 23:59 UTC 前归还剩余资产或等值 ETH，可保留 1 WBTC 赏金。提议不代表资金已归还，也不构成法律豁免。
2026年10月31日
运营方报告撤销权限、暂停三个金库并提出追回赏金
可读帖文称约 40 分钟内撤销权限，并提出 1 WBTC 赏金；嵌入副本未显示完整条件。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Troves 事件声明的官方公开嵌入副本一手来源可读开头确认 10 月 31 日遭攻击、初步损失及暂定范围；后文被截断。
- Troves 遏制进展的官方公开嵌入副本一手来源可读开头报告撤销权限及全部三个暂停金库；后文被截断。
- Troves 范围澄清的官方公开嵌入副本一手来源完整澄清保留初步损失口径，并承诺发布经核实的更新和复盘。
- Troves 追回提议的官方公开嵌入副本一手来源可读开头确认提出 1 WBTC 追回赏金；完整条款及追回钱包链接被截断。
- Panda Security 原始交易分析一手来源研究人员称读取了 Starknet 交易收据及转账事件，公布六项清单，并区分观察到的转账与运营方损失估算。
- Ethereum 上追回钱包发出的赏金消息一手来源可读交易输入来自 Panda Security 此前识别的追回地址；载明条款、期限及联系渠道，并非已完成追回。