Fluid奖励发放机制遭攻击致约21.5万美元损失

6月1日，DeFi领域再次发生安全事件——Fluid项目在以太坊上的奖励发放机制遭到攻击，约21.5万美元的资产被盗。虽然此次事件的规模不算惊人，但其背后的漏洞逻辑以及项目方的应对方式，仍值得深入分析。

奖励机制如何被突破

首先来看该机制的运行方式：Fluid采用Merkle奖励名单机制，需要两把运营私钥配合——一把用于发起奖励名单，另一把用于批准名单。理论上，双重认证可以防止单点失守。然而问题在于，攻击者竟然同时掌握了两把私钥。他提交了一份仅给自己发放奖励的名单，并亲自完成了批准流程，随后仅凭空证明便顺利领取了资金。简而言之，整个流程由同一人发起与审批，形同虚设。

被盗资产与影响范围

被盗资产来自三个奖励分发器，具体包括112,883枚FLUID、47,903枚GHO以及少量cbBTC。这些代币随后被迅速兑换成ETH，并通过Tornado Cash进行转移，追回难度较大。值得庆幸的是，Fluid的借贷市场、金库、DEX以及用户存款均未受到影响，核心业务保持正常运转。

团队应对与社区反应

项目方的反应速度尚可——大约10小时内更换了受损密钥，并将剩余奖励资金转移到安全地址。但耐人寻味的是，团队的公开说明中只字未提私钥泄露和具体损失金额，仅笼统表示“奖励领取暂停更新”。在加密市场情绪敏感的时期，这种信息不对称的处理方式，难免让社区产生更多疑虑。