代币化股票交易平台 Edel Finance 本周二暂停了其借贷协议。团队称，一名攻击者利用代币化谷歌股票（GOOGLx）的包装机制漏洞，将作为抵押品的 wGOOGLx 估值推高至实际价值的约 78 倍，随后借走真实资产，留下约 40.3 万美元 坏账。
攻击目标是一种代币化版本的 Alphabet 旗下谷歌股票。Edel Lending 接受 wGOOGLx（GOOGLx 的包装形式）作为抵押品。包装代币是将某种资产重新打包，使其能在特定协议内运作，理论上应与底层资产保持 1:1 锚定。攻击者操纵了 GOOGLx 与 wGOOGLx 之间的兑换汇率，使 wGOOGLx 被高估约 78 倍，进而用这种虚假抵押物从协议中借出实际资产。
定价环节本身并非薄弱点。Edel 表示，其使用的是 Chainlink 预言机，这些标准的第三方服务负责向链上输送真实价格，当时报出的谷歌股价约为 357 美元，完全准确。漏洞出在包装机制上——攻击者干涉了 GOOGLx 与 wGOOGLx 的转换过程，导致抵押物虽底层价格无误，但被错误估值。
Edel 称已发现并控制住该次攻击，随后暂停了所有版本一的合约（目前仍处于冻结状态），并警告用户不要与其交互。团队补充道，已追踪到攻击者的交易记录，正与多家交易所协调；同时已在设定窗口内向攻击者提供 白帽和解方案，即允许黑客返还大部分资金以换取一笔费用且不被追究法律责任。
Edel 强调，任何存款人不会遭受损失，团队将自行承担坏账并按 1:1 恢复所有余额。平台正在部署版本二，采用重新设计的定价机制以阻止此类操纵，并承诺稍后发布完整技术报告。
一次小规模攻击，却指向 DeFi 最顽固的漏洞类型
虽然此次涉案金额不大，但攻击手法属于 DeFi 最持久的漏洞类别之一。操纵协议读取的价格（而非直接入侵代码）在 OWASP 智能合约 Top 10 漏洞（2025 版） 中排名第二。安全研究机构 CertiK 将预言机价格操纵描述为该领域最常见的攻击向���之一。
与跨链桥（今年最大单笔盗窃案包括 4 月从 Kelp DAO 盗走的 2.92 亿美元）并列，价格操纵一直是大额资金持续流失的通道。而多数此类攻击中，代码本身按预期执行，问题出在外部输入被扭曲。代币化股票进一步扩展了这一攻击面——将谷歌等股票上链的产品是 DeFi 增长最快的分支 之一，它们在资产与价格之间增加了额外一层：将股票转化为抵押品所需的包装与转换步骤。