Echo Protocol $77M eBTC 漏洞利用被追溯至管理員金鑰遭入侵

去中心化金融（DeFi）協議 Echo Protocol 在攻擊者於部署在 Monad 公鏈 / 區塊鏈 上的協議中，鑄造了約 1,000 枚未經授權的 eBTC 後遭到利用。區塊鏈安全公司 PeckShield 以及分析平台 Lookonchain 於週二通報該事件，指出駭客鑄造的 1,000 枚合成比特幣（eBTC）價值約 7,670 萬美元。Echo Protocol 於週二確認，正在調查影響 Monad 上 Echo 之跨鏈橋（bridge）的安全事件；在調查期間，所有跨鏈交易仍維持暫停。根據區塊鏈開發者「Marioo」表示，此次漏洞源自管理員私鑰遭到洩露，屬於作業層面的失誤，而非技術性故障。該事件發生在更廣泛的 DeFi 利用激增之時，本月至少已有 12 個協議遭到攻擊。

## 攻擊者的洗錢企圖與目前持有

根據 PeckShield，攻擊者試圖透過將部分被盜資金存入 DeFi 借貸與流動性管理協議 Curvance 來洗錢：存入 45 eBTC（約 345 萬美元）。接著，攻擊者以該存款借出價值 86.8 萬美元的 11.3 枚包裝比特幣（wBTC），並將代幣跨鏈至以太坊，將其換成 ETH，最後將價值 82.2 萬美元的 384 ETH 送至 Tornado Cash 混幣服務。

截至該報告，根據 DeBank 資料，攻擊者仍持有 955 eBTC，價值約 7,300 萬美元。


駭客仍持有被盜加密資產的 95%。來源：DeBank

## 根本原因：管理員私鑰遭到洩露

區塊鏈開發者「Marioo」表示，該利用並非由智慧合約漏洞造成，而是管理員私鑰遭到洩露；根本原因是「屬於作業性而非技術性」。Marioo 指出，eBTC 合約「完全依照設計運作」。他並辨識出包含以下脆弱點：管理員角色僅有單一簽名、沒有時間鎖（timelock）、沒有鑄造供給上限或速率限制，以及 Curvance 對於剛鑄造的擔保品，沒有「供給合理性檢查」（supply sanity check）。

Curvance 表示，它已知悉 Echo eBTC 市場中偵測到的「異常」，並確認其自身智慧合約沒有遭到攻陷。該協議已暫停受影響的市場以進行調查。

## 協議與網路回應

Monad 共同創辦人 Keone Hon 在 X 上釐清：「Monad 網路未受影響，並且正常運作。」Echo Protocol 表示，隨著取得更多資訊，將透過其官方管道提供更新。

## 2026 年更廣泛的 DeFi 資安危機

這一年對 DeFi 資安而言十分艱難：數十個協議遭到利用，涉及數億美元規模的加密資產，且已有超過 20 個協議關閉服務。

今年兩起最大的駭客攻擊包含：利用 Drift Protocol，造成 2.85 億美元損失；以及 Kelp DAO，於 4 月遭到利用，損失 2.92 億美元。週一，Verus Protocol 的以太坊橋（Ethereum bridge）遭到一則偽造的跨鏈轉帳訊息利用，讓駭客得以竊取至少 1,160 萬美元的加密資產。去中心化流動性協議 THORChain 於週五停止交易，原因是區塊鏈調查員 ZachXBT 標記了一起疑似 1,000 萬美元的利用事件。Transit Finance 受到了已棄用（deprecated）的智慧合約漏洞影響，導致其在前一週損失 188 萬美元。