一次“定向爆破”的閃電貸攻擊，暴露穩定幣流動性的結構裂縫

事件回顧

2026 年 1 月 20 日凌晨，一場高度精準的閃電貸攻擊從 Curve 上的 DUSD/USDC 流動性池中抽走了約 420 萬美元，成為 2026 年初最具技術針對性的穩定幣攻擊事件之一。這次攻擊並未觸及 DUSD 的核心鑄造或贖回機制，而是集中打擊單一流動性場所，清晰地揭示了在預言機依賴、流動性假設與 DeFi 可組合性相互疊加時，系統性風險如何在局部被迅速放大。

DUSD 是由多鏈 DeFi 執行引擎 Makina Finance 發行的穩定幣。根據事後披露的信息，攻擊者通過閃電貸借入約 2.8 億美元的 USDC，在極短時間內操縱與該池相關的價格輸入，虛增流動性頭寸的賬面價值，並在系統尚未來得及重新校準之前完成套利，最終將池中約 1,299 枚 ETH 等值資產全部轉出。

需要強調的是，此次事件並未影響 DUSD 的整體供應，也未波及單純持有 DUSD、Pendle 或 Gearbox 頭寸的用戶。Makina 在事後第一時間明確了這一邊界，但攻擊發生的速度與精準度仍然表明，即便是看似隔離良好的流動性池，在資本高度集中、預言機響應存在時間差的情況下，依然可能成為"單點失效"的突破口。

攻擊是如何完成的

從技術路徑看，這次攻擊延續了近年來 DeFi 安全研究者已較為熟悉的模式，但在執行層面更加克制而集中。攻擊者利用巨額、瞬時注入的 USDC扭曲了 DUSD/USDC 池的價格結構，使依賴該價格的相關邏輯在同一区塊內產生錯誤判斷，從而製造出"流動性充足"的假象，為無風險套利創造條件。

由於閃電貸無需前置資本，且必須在同一交易中完成償還，攻擊者幾乎不承擔方向性風險，其核心手段在於時間維度上的價格扭曲。這種漏洞類型在多個 DeFi 場景中反復出現，尤其是在流動性池依賴單一或短期價格信號，而非時間加權或多源聚合數據時，更容易被短暫失衡所利用。

最終結果並非系統性崩潰，而是一次乾淨利落的抽取。Makina 隨後披露，約 510 萬枚 USDC 等值資產從該池中流失，損失完全由流動性提供者承擔，而協議其餘部分保持正常運作。

事後處置與隔離

Makina 的應對速度在一定程度上體現了 DeFi 在多次安全事件後的成熟度提升。團隊迅速確認攻擊範圍僅限於 Curve 上的 DUSD/USDC 池，並在攻擊發生前已完成流動性提供者餘額的快照，同時啟動"恢復模式"，允許受影響的 LP 單邊贖回至 DUSD，以避免進一步的恐慌性擠兌。

在 1 月 21 日發布的官方聲明中，Makina 表示已掌握有關攻擊者鏈上身份的線索，並正在嘗試與其取得聯繫，同時承諾在完成安全調整後重新啟用贖回功能，並提供替代性退出方案。這種處理方式與早期 DeFi 事件中信息滯後、影響範圍不清晰所導致的連鎖反應形成鮮明對比，也說明如今協議之間的差異，越來越體現在事後管理能力而非絕對的"零漏洞"承諾上。

市場信號與流動性記憶

DUSD 事件的啟示之一，在於它與此前的流動性敘事形成了強烈反差。就在幾個月前的 2025 年 9 月，DUSD/USDT 交易對曾在 PancakeSwap 的 TVL 排行榜中位居首位，鎖倉量達到 1.29 億美元，24 小時成交額 8,211 萬美元，7 日成交額累計 4.39 億美元，在部分交易生態中被視為高活躍度、強流動性的代表。

這一歷史背景尤為重要，因為它揭示了一個反復出現的 DeFi 規律：流動性深度本身並不等同於安全性。當資本高度集中、穩定幣錨定關係被視為理所當然時，這類池子反而更容易成為"定向爆破"的理想目標，尤其是在激勵機制與價格假設未被持續壓力測試的情況下。

從這個角度看，這次攻擊並未直接否定 DUSD 作為穩定幣的可行性，但它再次驗證了一個長期存在的事實：最"穩定"的場所，往往在對手具備足夠工具時，成為最具性價比的攻擊目標。

更廣泛的穩定幣啟示

跳出單一事件，DUSD 的閃電貸攻擊折射出鏈上穩定幣在跨鏈、跨協議擴張過程中面臨的結構性挑戰。可組合性極大提升了資本效率，卻也構建了複雜的依賴網絡，使得局部失效可能對特定用戶群體產生不成比例的影響。

隨著監管機構、機構資本以及基礎設施提供方逐步將穩定幣視為支付與結算層，而非單純的交易工具，類似事件正在迫使市場更清晰地區分協議層面的穩健性與具體流動性場所的風險。對追逐 LP 收益的用戶而言，這種區分尤為關鍵，卻也常常被忽視。

此次事件中，DUSD 持有者本身並未受到影響，這一點或許有助於 Makina 維持整體信譽；但從更長遠的視角看，DeFi 穩定性的下一階段，可能不再由 TVL 數字或表面流動性決定，而取決於協議如何設計、隔離並加固其最脆弱的環節，尤其是在閃電流動性與價格發現發生正面碰撞的地方。

閱讀原文