IPOR披露，Arbitrum 上的 USDC Fusion Optimizer Vault 遭遇恶意交易，攻击者从一个旧版金库中转出 33.6 万 USDC。项目方表示，受影响金额占 Fusion 总资金 不足 1%，其余金库未受波及，IPOR DAO 将对相关存款人进行全额赔付。
异常交易发生在旧版 USDC 金库
根据披露，团队在 2026 年 1 月 6 日 收到有关可疑交易的警报，随后确认攻击发生在 Arbitrum 上的 USDC Fusion Optimizer Vault。被清空的是一个历史版本金库，而不是当前全部 Fusion 金库。项目称，这次损失规模相对有限，但暴露出旧版智能合约配置遗留的安全问题。
IPOR称，Hexagate 与 Blockaid 帮助较早识别了事件，SEAL 也在协助资金追回工作。项目方同时表示，后续将发布这次攻击的复盘报告，说明成因与已采取的防范措施。
攻击链条指向验证缺失与权限委托
从项目披露的技术细节看，这次事件由多个问题叠加触发。首先，受影响金库的 instantWithdraw 方法缺少验证，导致未经认证的 fuse 模块也能执行任意代码。这个缺口很关键。
第二个问题出在管理员账户的权限委托上。IPOR表示，该管理员账户通过 EIP-7702 将权限委托给一个具备任意调用功能的合��，攻击者借此伪装成已获批准的交易。随后，攻击者注入恶意 fuse，并利用前述验证缺失完成提币，最终将 33.6 万 USDC 转入其地址。
仅少数旧金库受影响，新版设计已加入更严格校验
IPOR称，遭攻击的金库属于较早部署的遗留版本，发布时间早于更严格的 fuse 验证策略落地约 490 天。带有相关 EIP-7702 委托合约的，也只涉及少量旧金库。项目表示，较新的 Fusion Vault 已加入更完整的验证逻辑，可阻止类似路径被复用。
项目方的当前处置包括两部分：一是继续联动 Hexagate、Blockaid 与 SEAL 追踪并尝试追回被盗资金；二是由 IPOR DAO 国库承担损失，确保受影响存款人获得全额补偿。就现阶段披露的信息看，IPOR将这次事件定性为一次针对旧版金库的攻击，而非整个 Fusion 产品线的系统性风险。