Chainflip在9月12日凌晨遭遇针对其TRON USDT集成的攻击，因交易备忘录处理漏洞，导致通过六笔未授权付款损失736,442.17 USDT。
事件概述
跨链协议Chainflip在9月13日的事件更新中称，攻击者利用其TRON USDT集成中的漏洞，在约90分钟内重复同一存款8次，并通过篡改交易备忘录使验证者已签名的交易被解读为独立交换指令，造成重复支付。其中六次尝试产生未授权付款，总计736,442.17 USDT。
有一笔价值115,654.41 USDT的合法用户交换尚未支付，资金仍留在Chainflip金库中，网络重启后可释放。协议表示其他资金未受影响。
攻击手法
Chainflip使用交易备忘录读取附加在TRON转账上的交换指令，而在大多数其他区块链上通过专用合约函数接收指令。攻击者发现可向验证者已签名的交易附加新备忘录，系统将新备忘录解读为单独指令，原存款已支付，篡改备忘录导致二次支付。
攻击者在约90分钟内重复该方法8次，早期使用小额，后续每次接近前次两倍。协议未公布交易哈希、地址等细节。
检测与响应
Chainflip在后续USDT付款开始失败后检测到事件，暂停网络活动。初步审查发现漏洞仅限TRON USDT，金库资金安全。此为Chainflip首次涉及金库资金被取走的重大安全事件。
补偿与恢复
Chainflip承诺受影响的用户将获得全额补偿，但截至9月13日未公布具体报销方式。团队已通知相关方追踪被盗资金，但未点名相关方，也未确认是否使用中心化交易所或USDT是否被冻结。
协议表示底层修复已完成，但重启程序待定，网络将至少暂停至周一（最早9月14日）。重启后处理待定交换并启动补偿。完整技术报告将在重启后发布。