Swell DAO热密钥遭滥用致代币汇率虚高，链上安全事件引发市场关注

10月22日，安全研究员Spreek指出，Swell DAO的运营热密钥可能遭到未经授权使用，攻击者在未新增以太坊（ETH）抵押的前提下，通过自动化系统连续调高swETH和rswETH的净值估值（NAV），每小时涨幅达上限1%。

据Odysseus统计，两种代币在短时间内共出现五次约1%的异常上调。该现象最早于UTC时间01:28在X平台曝光，研究者怀疑其与云服务商Railway的数据泄露存在潜在关联。

热密钥漏洞暴露治理风险

Phylax Systems创始人Odysseus将此归类为“BOT密钥滥用”事件。他指出，swETH出现三次、rswETH出现两次类似操作。根据Swell官方预言机规则，仅允许由特定机器人角色提交重定价快照，而该机器人依赖在线热密钥执行，无需人工确认，形成安全隐患。

Ethereum链上数据显示，一个地址于10月21日UTC时间23:02首次提交swETH快照，并在次日00:04与01:08再次提交。截至10月22日，swETH报价较基准值高出约3.0%，rswETH则高出约2.0%。

Railway方面在10月21日通报称，其系统中存储客户环境变量的组件检测到异常访问行为，外部人员可能已获取部分解密信息，包括API密钥与账户凭证。平台随即冻结所有部署，并建议用户立即更换密钥。

同日，加密调查员Tay报告称，攻击者利用从Railway获取的密钥，在至少19条EVM链上盗取资金，总额约37.1万美元。尽管尚未证实与Swell事件直接关联，但引发对跨链安全链条的担忧。

项目方回应与服务暂停

Swell于10月22日UTC时间03:03在X平台发布声明，确认收到关于swETH与rswETH合约活动异常的报告，并正联合安全团队进行排查。团队强调，目前未发生任何ETH从质押合约中提取或存入的情况，暂无需用户采取行动。

然而，至10月23日，Swell宣布暂停swETH与rswETH的存款与取款功能，表示将在净值回归正常后恢复服务。同时，Spreek披露存在四个恶意升级合约，若被执行可能造成约2,500 ETH的资金损失。当前估算Swell持有资产约为2,513 ETH，但该金额并非已确认的损失。

值得注意的是，这些恶意代码均未被执行。部分分析过程据称借助人工智能辅助整理，尚待进一步验证。

目前仅有小部分虚高价格反映在去中心化交易所（DEX）交易中。截至10月23日，Swell生态总锁仓价值约为2,900万美元，其中rswETH市场资本化范围介于2,700万至5,800万美元之间。

在依赖链上汇率作为抵押品评估标准的借贷协议中，这种虚高的净值可能导致风险敞口扩大。Cryptopolitan追踪发现，此前rsETH漏洞曾波及Layer 2借贷市场，此次事件亦存在类似传播路径。此外，泄露的密钥还被用于攻击FearlessWallet扩展程序，致使部分Polkadot用户私钥外泄。