XPR Network proton.swaps Exploit：约 21 亿 XPR 受影响，约 87% 已追回

9 月 12 日，XPR Network 上 MetalX 的 proton.swaps 及相关 lending 路径遭到攻击。

9 月 14 日发布的详细链上复盘，使这次事件的资产规模、追回比例和剩余风险更加清晰。

影响规模

复盘估算，整个攻击路径涉及约 21 亿 XPR：

• 约 15.56 亿 XPR 直接通过攻击路径抽走；
• 另有约 5.635 亿 XPR 通过 lending.loan 借出，攻击者使用被盗 stablecoin collateral 作为抵押。

已追回多少？

Block producers 与 Metallicus 很快介入。

约 18.5 亿 XPR 重新回到 governance-controlled treasury，相当于约 87% 的 affected XPR。

复盘还称，被盗 stablecoin collateral 基本被追回，包括约：

• 137 万 XUSDC
• 57.1 万 XMD

以及仍处于网络控制范围内的 METAL 与其他 ecosystem-token reserves。

哪些资产已经逃出网络？

在 freeze 生效前，大约：

• 2.77 亿 XPR
• 31 万 METAL

已经流向 KuCoin、MEXC、Gate.io。

这些资产仍属于 recovery / enforcement track，不能提前计入 recovered。

技术问题是什么？

当前复盘将问题指向 smart-contract accounting / withdrawal path，而不是 XPR Network consensus。

攻击者利用 proton.swaps 的逻辑缺陷操纵 balance，并提取真实资产。

Recovery 为什么也值得关注？

Recovery 高度依赖 block-producer intervention 和 account-control mechanism。

而且 recovery 过程中又发现 eosio.wrap——用于 BP recovery action 的组件——本身存在问题，需要先修复。

因此事件同时存在：

1. 原始 smart-contract exploit；
2. 链治理在冻结、恢复和重新分配资产时的 intervention boundary。

Remediation

当前链上复盘提到已经提交：

• eosio.wrap inline fix；
• eosio.token 层的 freeze enforcement。

Evidence Status

Confirmed / On-chain Reconstruction

约 21 亿 XPR affected、约 18.5 亿 XPR recovered、约 87% recovery ratio、CEX-bound XPR / METAL 数量、当前 remediation。

Developing

CEX recovery、law-enforcement outcome、final user / LP accounting、是否还存在其他同类 contract weakness。

Risk Assessment

Critical，但 recovery status 已明显改善。

What to Watch Next

CEX freeze、law-enforcement recovery、final treasury accounting、contract upgrades、independent review、normal liquidity restoration。

FAQ

一共多少 XPR 受影响？

约 21 亿 XPR。

已追回多少？

约 18.5 亿 XPR，约占 87%。

还有多少流向 CEX？

约 2.77 亿 XPR + 31 万 METAL。

XPR Network 共识被攻破了吗？

没有证据显示 consensus 被攻破。

为什么 recovery 可以这么快？

因为大量资产仍在网络行政和治理控制范围内。

事件已经完全结束了吗？

没有。CEX recovery 和 final accounting 仍在继续。