一名黑客通过铸造任意数量的存款收据代币，从去中心化金融 (DeFi) 协议 Delta Prime 中窃取了超过 600 万美元。
根据区块浏览器 Arbiscan 的数据，攻击者在初始攻击中铸造了超过 115 duovigintillion 个 Delta Prime USD (DPUSDC) 代币，以科学计数法表示为超过 1.1*10^69。
DPUSDC 是 Delta Prime 持有的 USDC (USDC) 稳定币的存款收据。它旨在以 1:1 的比例兑换 USDC。
尽管铸造了如此大量的 USDC 存款收据，但攻击者仅销毁了其中的 240 万张，并获得了价值 240 万美元的 USDC 稳定币。
攻击者铸造了大量 DPUSDC 代币并赎回了其中的一些。资料来源：Arbiscan。
攻击者随后对其他存款收据代币重复了这些步骤，铸造了超过 1 千万亿 Delta Prime 包装的比特币 (DPBTCb)、1.15 亿亿 Delta Prime 包装的以太币 (DPWETH)、1.15 亿亿 Delta Prime Arbitrum (DPARB) 和许多其他存款收据代币，最终兑换了铸造金额的一小部分，获得了价值超过 100 万美元的比特币 (BTC)、以太币 (ETH)、Arbitrum (ARB) 和其他代币。
据区块链安全专家 Chaofan Shou 称，攻击者迄今已窃取了约 600 万美元的资金。
Source: Chaofan Shu.
攻击者首先控制一个以 b1afb 结尾的管理员账户，然后才能铸造这些存款收据代币，他们很可能是通过窃取开发者的私钥来实现的。利用这个账户，他们在每个协议的流动性池合约上调用了一个“升级”功能。
这些函数旨在用于软件升级。它们允许开发人员通过让代理指向不同的实现地址来更改合约中的代码。
然而，攻击者利用这些函数将每个代理指向攻击者创建的恶意合约。每个恶意合约都允许攻击者铸造任意数量的存款收据，从而有效地让他们耗尽每个资金池。
Delta Prime 攻击者升级合约。资料来源：Arbiscan。
Delta Prime 在 X 帖子中承认了此次攻击，并表示“欧洲中部时间上午 6:14，DeltaPrime Blue (Arbitrum) 遭到攻击，损失达 598 万美元。”
该公司声称 Avalanche 版本 DeltaPrime Blue 不易受到攻击。该公司还表示，该协议的保险“将在可能/必要时承保任何潜在损失”。
Delta Prime 攻击说明了 DeFi 协议使用可升级合约的风险。
Web3 生态系统旨在防止私钥黑客利用整个协议。
理论上，攻击者需要窃取每个用户的私钥才能耗尽整个协议。然而，当合约可升级时，它会引入中心化风险，这可能导致整个用户群失去资金。
即便如此，一些协议仍认为放弃升级能力可能比其他选择更糟糕，因为它可能会阻止开发人员修复部署后发现的错误。Web3 开发人员仍在争论协议何时应该允许升级，何时不应该允许升级。
智能合约漏洞继续对 Web3 用户构成威胁。9 月 11 日，一名攻击者使用一行模糊的代码从 CUT 代币流动性池中盗取了超过 140 万美元，该代码指向另一份合约中未经验证的函数。
9 月 3 日，攻击者成功将自己的恶意合约注册为代币市场，导致 Penpie 协议中损失了超过 2700 万美元。
