Troves这次披露留下的关键细节，是一份已经被替换的再平衡合约仍握有金库权限。项目方2026年10月31日的声明称，Starknet上的xWBTC/WBTC金库遭利用，初步损失约8.6 BTC；相关权限已撤销，受影响及可能暴露的金库采取暂停措施。[3] 对储户而言，眼下需要区分三个进度：旧入口是否失效、金库资产还剩多少、份额最终能换回什么。第一项取得进展，并不能自动回答后两项。
升级替换了执行逻辑，未必替换授权关系
官方对原因的表述很克制：利用涉及一个在被替换后仍保留权限的旧再平衡合约，没有在这份声明里完整公开被利用的函数、调用参数和逐笔损失构成。[3] 因而不能把某份第三方示例代码当作Troves实际漏洞，也不能仅凭“旧合约”三个字，就断定是私钥泄露或整个底层网络失效。可以确认的是，团队认为已经退出业务流程的组件，仍然处在能够影响资金的位置。
这种差异来自两套相互独立的状态。运营团队可以让机器人只调用新地址，前端可以移除旧入口，文档也可以改写版本号；这些操作改变的是正常业务路径。如果金库对旧地址的信任没有同步取消，链上执行时仍可能接受来自该地址的特权调用。“没人再用”是运营状态，“已经不能用”才是权限状态。 两者之间的空隙，会把一次看似完成的升级留成一条额外资金通道。这是对授权机制的分析，并非已经取得完整攻击复盘。
再平衡的敏感性也在这里。它原本服务于资产配置与流动性管理，执行时却可能需要移动头寸或交换资产。金库允许一个策略组件代为操作，意味着储户信任的不仅是存取款入口，还包括这条执行链路能触达的权限。假如旧组件存在外部可触发的路径，停用正常机器人便不足以阻断它；反过来，如果旧组件所有入口均已不可调用，或其金库权限已被撤销，同一历史地址即使仍被人知道，也不应继续具备原来的执行能力。具体属于哪一种，要由状态与调用验证决定。
图为2026年10月31日Troves官方声明的原文摘录排版，非网页截图。原文说明旧合约替换后仍保留权限；未公开的调用细节不由配图补写。[3]
相关下载： Binance全球顶级交易所 v3.22.3大小：306.0M
约8.6 BTC是初步口径，不能直接套成每人的损失率
项目方使用的是“preliminary loss”，也就是初步损失；同时将“未发现其他金库受影响”限定在截至声明时的调查范围内。[3] 这两处限定都关系到储户判断。初步总额可以描述事件规模，却还不是最终核销表。没有同期金库资产、负债与流通份额数据，便不能把该数字直接换成统一的储户折损比例，更不能据此推算所有相关资产都遭遇了相同比例损失。
第三方Panda Security在DEV上的分析给出了更细的观察：文章称单笔追踪中约6.32 WBTC到达发送者，而被报道的损失口径为约8.57 WBTC等值；作者明确保留其他资产、其他交易或价格换算等解释，没有把两者强行对齐。[1] 本文没有独立重跑其节点查询，因此这些数字只作为该分析的转述，不作为已经复算的链上结论。它们的实际用途，是提醒读者不要把“某个地址这次收到多少”与“金库总共损失多少”当成天然相等的指标。
对账时至少有两个视角。资产视角查看金库控制范围内剩余的各类代币和可变现头寸，负债视角查看储户份额及其对应权利。若金库持有两种资产，其等值损失还受换算基准影响；若头寸尚未全部退出，账面数量也不必等于能即时兑付的数量。这些是建立结算口径时应核实的条件，不能冒充Troves已披露的资产负债明细。在正式储户方案出现前，用初步损失额倒推个人可领取金额，证据仍然不足。
暂停三个金库，保护边界与受损边界应分开读
ChainCatcher对项目更新的报道列出xWBTC/WBTC、xSTRK/STRK和xstrkBTC/strkBTC三个暂停金库，并转述团队撤销LST金库再平衡权限的措施。[2] 暂停范围大于已经披露的受损范围，可以是为了排查同类权限暴露。它不等于新增两个受损金库，也不保证暂停范围以外的所有系统已经完成全面审计。报道所说的处置时间也属于项目方更新口径，本文没有独立测量从首次异常到每笔撤权确认的间隔。
撤权与暂停解决的问题并不相同。撤权针对某个地址继续动用特权的能力；暂停则针对某些操作继续执行的可能性。前者需要检查权限关系是否真的消失，后者需要检查暂停覆盖哪些功能。如果暂停只覆盖某一入口，却有另一条授权路径仍可移动头寸，外部看到“已暂停”的标签也不能据此推定全部资金通道关闭。这是通用的验收问题，当前资料不足以声称Troves仍存在某条未关闭的路径。
概念插图表示系统之间的权限联系，不是Troves界面、真实交易路径或撤权完成凭证。插图对应的是止损能力与损失结算之间的区别。
对用户而言，前端暂停存入、暂停策略执行与暂停提款也有不同后果。不能仅凭新闻中的“paused”推断提款已经开放，或推断所有份额永久无法赎回；需要看项目具体开放了哪些函数以及储户处置文件。若平台在完成权限排查前急于恢复业务，旧的信任关系可能尚未清理；若无限期暂停而没有资产对账与权利说明，储户又难以评估等待成本。恢复速度和恢复依据应该一起披露，单独报一个恢复时间并不能完成交代。
相关下载： 欧易okx交易所 v6.195.1大小：549.4M
下一份更新，应让储户拿到能核对的答案
官方声明说，会在核实后提供详细事后分析和受影响储户可选方案，同时继续追踪资金、探索潜在追回途径。[3] 这意味着恢复与偿付仍有待进一步信息。任何谈判意向、悬赏安排或追踪进度，都不能替代实际到账；同样，发现单一漏洞原因也不足以证明所有存量权限已经清理。应把“原因识别”“止损确认”“资金追回”“储户分配”分别记录，而不是用一个笼统的“已解决”覆盖它们。
一份有用的复盘，首先应能解释旧合约为何在替换后继续拥有权限，以及这项权限怎样被实际利用。只展示新的安全组件，无法回答旧的资金通道为何未随版本退役。其次，权限撤销应有可复查的状态或交易依据，受影响范围应有资产与金库层面的边界。最后，储户方案需要说明以哪个时间点的份额为准、剩余资产怎样计价、追回资产如何归属，及是否存在需要用户主动执行的领取步骤。这些都是本文提出的核对问题，不表示项目已经公布对应规则。
还有一种不能忽略的替代解释：初期披露可能为了尽快止损而只交代可确认的事实，完整原因与损失核算需要更长时间。资料暂缺，不足以直接指控团队故意隐藏；但储户也没有义务把未来承诺当成已经完成的补偿。判断可以随着证据改变：若后续状态证明全部旧权限失效，止损判断便更扎实；若最终对账调整损失总额，应以可复查的新明细替换初值，而不是继续传播早期数字。
本次资料截止于2026年11月1日核验所得的官方声明与公开报道。尚未独立验证完整攻击调用树、最终损失总额或储户实际兑付结果。对持有相关份额的人，当前最有价值的后续材料，是能够把自己的份额、金库净资产和可领取资产对应起来的正式安排；只有这份对应关系清楚，安全处置的进展才开始转化为可计算的退出能力。
用户评论