Alkanes / DIESEL索引器攻击

事件背景

Alkanes 元协议索引器同时维护两套状态：

1. 原子持久化存储（应在失败时完整回滚）；
2. 内存余额映射（热路径缓存）。

当高 ID 代币触发 u128 溢出时：持久化层正确回滚，但内存映射 没有撤销 错误写入 → 索引器以为存在巨量 DIESEL，而 Bitcoin L1 上并无对应真实资产。这是 索引器状态机不一致，不是 BTC 共识被攻破。若桥/结算层盲目信任索引器余额，就会把幻影代币兑成真实 BTC。

事件经过

1. 约 7 月 2 日攻击者构造极端数值触发溢出与状态分裂。
2. 通过约 24 次 级联翻倍，把幻影 DIESEL 放大到约 1 亿枚。
3. 尝试将幻影余额换成 frBTC / 抽取桥储备。
4. Subfrost 桥接与结算架构拒绝释放无抵押 BTC，约 82.3 BTC 风险敞口被拦截。
5. 7 月 3–4 日官方/社区复盘；宣称 用户损失为 0。
6. 随后修复索引器一致性；相关 bc1p 地址中桥储备地址 不是黑客。

资金流向

1. 尝试将幻影余额换成 frBTC / 抽取桥储备。
2. Subfrost 桥接与结算架构拒绝释放无抵押 BTC，约 82.3 BTC 风险敞口被拦截。
3. 随后修复索引器一致性；相关 bc1p 地址中桥储备地址 不是黑客。

金额口径

未统一/见正文

证据边界

以公开可核验来源为界；未证实细节不写入确定结论。

处置状态

Subfrost称用户资金未损失，攻击尝试被架构拦截；索引器状态一致性问题随后被修复或缓解。