Alkanes / DIESEL索引器攻擊

事件背景

Alkanes 元協議索引器同時維護兩套狀態：

1. 原子持久化存儲（應在失敗時完整回滾）；
2. 內存餘額映射（熱路徑緩存）。

當高 ID 代幣觸發 u128 溢出時：持久化層正確回滾，但內存映射 沒有撤銷 錯誤寫入 → 索引器以為存在巨量 DIESEL，而 Bitcoin L1 上並無對應真實資產。這是 索引器狀態機不一致，不是 BTC 共識被攻破。若橋/結算層盲目信任索引器餘額，就會把幻影代幣兌成真實 BTC。

事件經過

1. 約 7 月 2 日攻擊者構造極端數值觸發溢出與狀態分裂。
2. 通過約 24 次 級聯翻倍，把幻影 DIESEL 放大到約 1 億枚。
3. 嘗試將幻影餘額換成 frBTC / 抽取橋儲備。
4. Subfrost 橋接與結算架構拒絕釋放無抵押 BTC，約 82.3 BTC 風險敞口被攔截。
5. 7 月 3–4 日官方/社區復盤；宣稱 用戶損失為 0。
6. 隨後修復索引器一致性；相關 bc1p 地址中橋儲備地址 不是黑客。

資金流向

1. 嘗試將幻影餘額換成 frBTC / 抽取橋儲備。
2. Subfrost 橋接與結算架構拒絕釋放無抵押 BTC，約 82.3 BTC 風險敞口被攔截。
3. 隨後修復索引器一致性；相關 bc1p 地址中橋儲備地址 不是黑客。

金額口徑

未統一/見正文

證據邊界

以公開可核驗來源為界；未證實細節不寫入確定結論。

處置狀態

Subfrost稱用戶資金未損失，攻擊嘗試被架構攔截；索引器狀態一致性問題隨後被修復或緩解。