Troves 确认 xWBTC/WBTC 金库遭攻击，暂停三个金库
Troves 报告 Starknet 上 xWBTC/WBTC 金库初步损失约 8.6 枚 BTC，称已撤销旧合约及 LST 再平衡权限并暂停三个金库。目前未发现其他金库受影响；最终复盘和资金追回仍待确认。
- 披露时间
- 2026年10月31日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Starknet 上 Troves xWBTC/WBTC 存款人；xSTRK/STRK 和 xstrkBTC/strkBTC 也被预防性暂停
- crypto
- 在野利用
- 已发现
- Troves 确认发生攻击及初步损失，并非仅有原因不明的转账。
发生了什么
Panda Security 将攻击路径归因于已退役但仍拥有金库权限的再平衡合约。其收据分析称所查交易约有 6.32 WBTC 到达发送者；这并非对运营方约 8.6 枚 BTC 损失估算的完整核算。研究人员尚未确认具体漏洞函数及旧再平衡合约地址。厂商声明说明已采取遏制措施，不代表审计或赔付已完成。
案发时间线
2026年10月31日
Troves 确认金库遭攻击，初步损失约 8.6 枚 BTC
2026年10月31日
运营方报告撤销权限、暂停三个金库并提出追回赏金
可读帖文称约 40 分钟内撤销权限，并提出 1 WBTC 赏金；嵌入副本未显示完整条件。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Troves 事件声明的官方公开嵌入副本一手来源可读开头确认 10 月 31 日遭攻击、初步损失及暂定范围；后文被截断。
- Troves 遏制进展的官方公开嵌入副本一手来源可读开头报告撤销权限及全部三个暂停金库；后文被截断。
- Troves 范围澄清的官方公开嵌入副本一手来源完整澄清保留初步损失口径，并承诺发布经核实的更新和复盘。
- Troves 追回提议的官方公开嵌入副本一手来源可读开头确认提出 1 WBTC 追回赏金；完整条款及追回钱包链接被截断。
- Panda Security 原始交易分析一手来源研究人员称读取了 Starknet 交易收据及转账事件，公布六项清单，并区分观察到的转账与运营方损失估算。