一次“定向爆破”的闪电贷攻击，暴露稳定币流动性的结构裂缝

互联网阅读 29 2026-01-23 17:40:07

事件回顾

2026 年 1 月 20 日凌晨，一场高度精准的闪电贷攻击从 Curve 上的 DUSD/USDC 流动性池中抽走了约 420 万美元，成为 2026 年初最具技术针对性的稳定币攻击事件之一。这次攻击并未触及 DUSD 的核心铸造或赎回机制，而是集中打击单一流动性场所，清晰地揭示了在预言机依赖、流动性假设与 DeFi 可组合性相互叠加时，系统性风险如何在局部被迅速放大。

DUSD 是由多链 DeFi 执行引擎 Makina Finance 发行的稳定币。根据事后披露的信息，攻击者通过闪电贷借入约 2.8 亿美元的 USDC，在极短时间内操纵与该池相关的价格输入，虚增流动性头寸的账面价值，并在系统尚未来得及重新校准之前完成套利，最终将池中约 1,299 枚 ETH 等值资产全部转出。

需要强调的是，此次事件并未影响 DUSD 的整体供应，也未波及单纯持有 DUSD、Pendle 或 Gearbox 头寸的用户。Makina 在事后第一时间明确了这一边界，但攻击发生的速度与精准度仍然表明，即便是看似隔离良好的流动性池，在资本高度集中、预言机响应存在时间差的情况下，依然可能成为“单点失效”的突破口。

攻击是如何完成的

从技术路径看，这次攻击延续了近年来 DeFi 安全研究者已较为熟悉的模式，但在执行层面更加克制而集中。攻击者利用巨额、瞬时注入的 USDC 扭曲了 DUSD/USDC 池的价格结构，使依赖该价格的相关逻辑在同一区块内产生错误判断，从而制造出“流动性充足”的假象，为无风险套利创造条件。

由于闪电贷无需前置资本，且必须在同一交易中完成偿还，攻击者几乎不承担方向性风险，其核心手段在于时间维度上的价格扭曲。这种漏洞类型在多个 DeFi 场景中反复出现，尤其是在流动性池依赖单一或短期价格信号，而非时间加权或多源聚合数据时，更容易被短暂失衡所利用。

最终结果并非系统性崩溃，而是一次干净利落的抽取。Makina 随后披露，约 510 万枚 USDC 等值资产从该池中流失，损失完全由流动性提供者承担，而协议其余部分保持正常运作。

事后处置与隔离

Makina 的应对速度在一定程度上体现了 DeFi 在多次安全事件后的成熟度提升。团队迅速确认攻击范围仅限于 Curve 上的 DUSD/USDC 池，并在攻击发生前已完成流动性提供者余额的快照，同时启动“恢复模式”，允许受影响的 LP 单边赎回至 DUSD，以避免进一步的恐慌性挤兑。

在 1 月 21 日发布的官方声明中，Makina 表示已掌握有关攻击者链上身份的线索，并正在尝试与其取得联系，同时承诺在完成安全调整后重新启用赎回功能，并提供替代性退出方案。这种处理方式与早期 DeFi 事件中信息滞后、影响范围不清晰所导致的连锁反应形成鲜明对比，也说明如今协议之间的差异，越来越体现在事后管理能力而非绝对的“零漏洞”承诺上。

市场信号与流动性记忆

DUSD 事件的启示之一，在于它与此前的流动性叙事形成了强烈反差。就在几个月前的 2025 年 9 月，DUSD/USDT 交易对曾在 PancakeSwap 的 TVL 排行榜中位居首位，锁仓量达到 1.29 亿美元，24 小时成交额 8,211 万美元，7 日成交额累计 4.39 亿美元，在部分交易生态中被视为高活跃度、强流动性的代表。

这一历史背景尤为重要，因为它揭示了一个反复出现的 DeFi 规律：流动性深度本身并不等同于安全性。当资本高度集中、稳定币锚定关系被视为理所当然时，这类池子反而更容易成为“定向爆破”的理想目标，尤其是在激励机制与价格假设未被持续压力测试的情况下。

从这个角度看，这次攻击并未直接否定 DUSD 作为稳定币的可行性，但它再次验证了一个长期存在的事实：最“稳定”的场所，往往在对手具备足够工具时，成为最具性价比的攻击目标。