一名攻击者在短短 11 分钟内，从 XPR Network (XPR) 的多支流动性池中抽走逾 900 万美元资金，方法是利用一份允许“负数取款”的兑换合约逻辑漏洞。
要点概览：
- 攻击者在约 11 分钟内，从 XPR Network 多个流动性池中转出超 900 万美元资产。
- 漏洞出在取款函数接受负数参数，攻击者得以虚增内部余额，再兑回真实代币。
- 区块生产者随后修补合约并冻结约 18 亿枚 XPR，将大部分涉案代币留在链上。
XPR Network 兑换合约被精确狙击
此次攻击指向网络上的链上兑换合约 proton.swaps。攻击者先在该合约中抽走约 15.6 亿枚 XPR，按当时市价约 403 万美元。
合约的取款函数允许填写负数金额，攻击者由此反复“做大”内部记账余额，再按该虚高余额提取真实代币。该手法随后被扩散到稳定币池、跨链资产池及借贷池等多个场景，累计损失金额突破 900 万美元。
其中约 5.63 亿枚 XPR（约合 146 万美元）流入借贷协议，攻击者以窃取的稳定币作抵押继续借出 XPR，使被“染色”的代币总量增至约 21.2 亿枚，占流通供应约 6.5%。
后续又有约 7.64 亿枚 XPR（约 200 万美元）被转入第二个地址。
延伸阅读：XRP ETF 九周连续净流入创下 17 亿美元纪录，价格疲弱下资金逆势涌入
XPR 价格跌破关键支撑
资金被抽离数小时后便开始反映到市场价格。周日，XPR 在 Bybit 报价 一度跌至约 0.00245 美元，24 小时跌幅约 5.6%，随后回升至 0.0026 美元附近，仍明显失守此前充当支撑的 0.00271 美元关口。
当日盘中该币最高曾触及 0.00277 美元，整体市值跌至约 7400 万美元。
RSI 指标 下探至 27.47，深陷超卖区间，显示抛压单边宣泄而非温和重定价。当日成交额约 290 万美元，买盘承接力度偏弱。
与今年 DeFi 最大损失案例相比，此次损失金额并不算突出，但“失控模式”更具警示意义：仅仅因为缺少对输入数值的边界检查，一个减号就让风险从单一兑换合约外溢至多个共享流动性的借贷池与跨链资产池。
攻击过程无需闪电贷，也不依赖预言机操纵，只是利用了一个未被拒绝的负号。
Metallicus 出手冻结被盗 XPR
区块生产者在协调后于世界标准时间 21:32 对合约进行紧急修补，并在约两小时后冻结约 18 亿枚 XPR，将代币转入社区控制之下。
在此次被波及的约 21.2 亿枚 XPR 中，仅有 3.195 亿枚真正跨出网络，进入外部场所或地址。
这意味着绝大部分涉案代币仍具备技术层面的可恢复空间。这一结果与 XPR Network 采用委托权益证明（DPoS）机制有关——少数经投票选出的区块生产者可以直接干预链上状态。
事实上，网络此前也曾动用这一“杠杆”。
作为 XPR Network 核心开发方的 Metallicus 此前在 2024 年 9 月披露其借贷合约遭遇重入攻击，随后暂停存款、借款与清算，冻结受影响资金，并在次月分阶段重新开放借贷业务。
