Sovryn 确认 Rootstock 上 Babelfish 奖励库存遭提取
Sovryn 识别出 15 笔从 Babelfish 奖励库存提取 69,381.254896 XUSD 的交易。攻击者可在同一操作序列内制造并逆转失衡，同时保留奖励。受影响的铸造及赎回流程已暂停。
- 披露时间
- 2026年11月10日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Babelfish XUSD 转换及奖励库存。普通 XUSD 转账及授权不在遏制措施的暂停范围内。
- crypto
- 在野利用
- 已发现
- Sovryn 记录了 15 笔成功发放奖励的交易。
发生了什么
奖励计算会对储备构成表面上的改善发放奖励。攻击者可先制造失衡，再逆转失衡并领取奖励。项目称，所检查交易中使用的 DOC 和 DLLR 本金均已归还。69,381.254896 XUSD 衡量的是这些交易从库存中提取的奖励。Sovryn 尚未公布最终未追回损失，仅凭这些证据也无法确认其余 XUSD 的储备存在等额缺口。
权限遏制措施移除了转换合约的 XUSD 铸造和销毁权限。Sovryn 已在本地测试关闭奖励的方案，生产变更仍待验证及批准。项目尚未核定 Babelfish 专属的追回金额，也未开放申领。此前的 Rootstock 借贷及 AMM 攻击采用独立的对账口径。
案发时间线
2026年11月4日
奖励资金遭提取，项目实施遏制
已识别的奖励交易发生于 04:14:50 至 04:59:36 UTC。Babelfish 转换合约于 08:05:49 UTC 失去 XUSD 铸造及销毁权限。
2026年11月10日
Sovryn 公布技术及恢复调查结果
Sovryn 说明奖励计算漏洞、已识别金额和仍在执行的转换限制。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Sovryn attack disclosure一手来源说明经济机制缺陷、15 笔已识别交易及奖励库存核算口径。
- Sovryn mitigation and recovery manifest一手来源说明已验证的权限遏制措施、普通转账范围及尚待验证的生产修复。