原创 | Odaily星球日报（@OdailyChina）

作者 | 叮当（@XiaMiPP）

6 月 26 日，去中心化稳定币协议 Resupply 旗下 wstUSR 市场被曝遭黑客攻击，约 950 万美元资产遭转移。

在加密世界，这类事件并不罕见，Resupply 的被盗金额甚至不算突出，但却引发社区争议。特别是项目方在事后的应对措施，并未对黑客资金进行追赃、追责、报警、悬赏，反而是先动用社区资产填坑。由此，社区怒火愈演愈烈舆论，OneKey 创始人 Yishi 、慢雾创始人余弦等一众加密人士纷纷站出来喊话项目方，甚至这场治理舆论已经升级至“种族歧视”。

Odaily 星球日报将从事件始末出发，梳理矛盾根源，厘清各方立场。

一、攻击过程：从“ 1 wei 抵押”借出数百万美元

Resupply 是围绕 crvUSD 构建的去中心化稳定币协议，其底层高度依赖 Curve 生态的交易池结构、利率模型与资产挂钩逻辑。通过 crvUSD-wstUSR 等交易对吸引流动性，项目在短时间内积累起数千万美元的锁仓量。

从代码使用、治理逻辑，到金库接入方式，Resupply 看似是一座“独立高楼”，实则深植于 Curve 与 Convex 这两大 DeFi 基础设施之间。外界普遍认为其与 Convex 存在开发资源协同，甚至传出由核心开发团队“暗中孵化”的传闻。

而这层关系，在事发之后成为争议的起点。

6 月 26 日，安全公司 BlockSec 首次发现 Resupply 出现异常资金流动，初步估算损失 950 万美元。

攻击路径随后被拆解：攻击者利用了 Resupply 在部署 wstUSR 金库时的一个结构性设计失误。具体而言，通过向 Controller 合约注入精心构造的参数，使得 exchangeRate 瞬间为零，抵押品检测失效，从而绕过所有清算与风控机制。

仅用 1 wei 抵押，攻击者就借出大量 reUSD，完成清洗后将资产转为 ETH，并通过 Tornado Cash 进行混币处理。事后统计，损失资产价值约 950 万美元。慢雾创始人余弦表示，这是一个“利率膨胀漏洞”。

Resupply 在 6 月 28 日发布的黑客攻击分析报告，其中指出：针对 Resupply 的 crvUSD-wstUSR 交易对的攻击造成了约 1000 万美元的 reUSD 坏账，但该漏洞仅存在于特定代币交易对中，其他代币交易对不受影响，Resupply 市场均照常运营。目前受影响代币交对的债务限额已设置为 0 并暂停了保险池提款，需要正式的治理投票才能取消暂停。存在问题的代码段已接受过多次安全审计，并有独立研究人员受聘审查代码库，但未有报告该问题，现阶段被盗资金仍在链上，正在监控相关情况并将采取必要措施。

漏洞本身不复杂，却打穿了协议最核心的安全边界。但真正的争议，从项目方的“补救措施”开始。

Yishi 在 6 月 28 日的推文中称，Michael 表示要起诉他，指控他污蔑 Curve 的名声，并对此表达了不满，称“老实人活该被欺负”。

Michael 的支持者@HaowiWang公开发文回应称，这已不再是“谁对谁错”的争论，而是一次对 Curve 品牌系统性信任的攻击。他列举了 Yishi 的五大“罪状”：

1. 恶意诽谤与事实捏造：Yishi 多次在社群、推特中将 Resupply 事件归因于 Curve，暗示其有实际控制责任，误导公众；

2. 商誉损害：Yishi 作为公众人物，直接或间接点名 Curve，使项目在中文社区内遭遇信任危机；

3. 有组织地操纵 KOC 传播错误信息：其可调动 OneKey 生态内的大量 KOC/KOL，引导舆论构建“Curve 共犯”的叙事；

4. 施压兜底意图明显：通过“Curve 是最大受益者”“不回应就是默认”营造道德压力，意图让 Curve 为损失兜底；

5. 证据链完整：推文、截图、群聊记录、转发网络链条等，已构成起诉所需最低门槛。

29 日，OneKey 官方发布声明澄清，从未以任何形式唆使、组织或操控任何 KOL 或用户，对 Curve 或任何项目发起舆论攻击。针对当前社交平台上个别人散布的恶意指控与不实言论，OneKey 将依法追责，绝不姑息。此外，创始人 Yishi 先生完全以个人身份参与投资，属于其个人行为，OneKey 官方的任何资源都未参与该项目。同时，OneKey 所有产品均为开源设计、无后门，已通过 SlowMist 等专业安全团队充分审计。

30 日，OneKey 创始人 Yishi 发布被 Curve Finance 拉黑的截图并配文“毕业了”。

结语：危机之后，剩下的不是协议，而是裂痕

Resupply 事件，从一场黑客攻击开始，最终演变为围绕治理责任、社群沟通、种族歧视与品牌操守的全面危机。

这不是 DeFi 第一次遭遇攻击，也不会是最后一次。但它或许是第一次，在没有黑客回应、没有项目方道歉的背景下，社区被推上了“损失承担者”的位置。

在 DeFi 世界里，信任的基础不在白皮书里，也不在审计报告里，而在项目方“出事之后的第一反应”。治理提案或许能修复协议，但修复不了撕裂的社群。协议还在运行，但信任走了，就不会回来。