安全研究员 Spreek 于 10 月 22 日报告称，一名持有 Swell DAO 运营热密钥的行为者在没有任何新 ETH 支撑的情况下，以每小时 1% 的上限抬高了 swETH 和 rswETH 流动性质押代币的兑换率。

流动性质押代币的兑换率通常只随质押奖励累积而上升，因此没有新 ETH 支撑的上调会使报告汇率高于协议持仓所能支撑的水平。这些发现浮出水面的数小时前，云平台 Railway 披露称入侵者可能获取了客户存储的密钥。

两个代币共记录到五次约 1% 的汇率上调

Spreek 于 UTC 时间 01:28 在 X 上分享了这些发现，写道这两个代币的管理密钥“似乎已被泄露（与 Railway 有关？）”。据该帖子称，攻击者“每小时以最大 1% 的幅度（无抵押）抬高 NAV”。

Phylax Systems 创始人 Odysseus 将此行为称为“BOT 密钥滥用”，并统计出 swETH 三次、rswETH 两次、每次约 1% 的汇率上调。Swell 公布的预言机代码规定，重新定价快照只能由 BOT 角色提交。该机器人运行在热密钥上，热密钥始终保持在线并在无人参与的情况下签署交易——这种安排将链上汇率的准确性置于单组永久在线凭证的掌控之中。此类汇率上限限制了预言机在单次更新中可以移动价格的幅度；在这里，它们定义了未经授权上调的节奏。

以太坊记录显示，同一地址在 10 月 21 日 UTC 时间 23:02 提交了 swETH 快照，随后在 10 月 22 日 UTC 时间 00:04 和 01:08 再次提交。截至 10 月 22 日的报告数据显示，swETH 较 1.133254 ETH 高出约 3.0%，rswETH 较 1.082464 ETH 上涨约 2.0%。

Railway [于 10 月 21 日表示]( API 密钥和注册表凭证。该平台冻结了所有部署，并敦促用户轮换存储的密钥。

同一天，加密货币调查员 Tay 表示，一名攻击者利用存储在 Railway 上的密钥，从至少 19 条 EVM 链上的钱包中盗取了约 371,000 美元。Railway 数据泄露与 Swell 事件之间的关联尚未得到证实。

四个恶意升级合约可能获取约 2,500 ETH

Swell 于 10 月 22 日 UTC 时间 03:03 在 X 上表示，其已知晓有关“swETH 和 rswETH 合约上可疑活动”的报告，并正在与安全合作伙伴展开调查。该团队写道：“没有任何 ETH 离开 swETH 或 rswETH 的提款或存款合约”，并补充说用户无需采取任何行动。

10 月 23 日，Swell 暂停了 swETH 和 rswETH 的存取款，并表示一旦 NAV 恢复到正确数值，这些功能将会恢复。兑换率决定了每枚代币在存款和提款时可兑换的 ETH 数，这也是恢复这些功能取决于修正后数值的原因。

Spreek 还报告称，四个恶意升级合约已被部署，一旦执行可能获取约 2,500 ETH。Odysseus 估计 Swell 持有 2,513 ETH，同时指出该金额“并非已确认的损失”。截至报道时，尚无任何升级合约被执行，其状态、NAV 修正以及与 Railway 事件的任何已确认关联仍是需要关注的关键事项。

据报道，研究中部分细节是在 AI 辅助下整理的，尚未得到验证。

被抬高的汇率给借贷市场带来传染风险

据报道，被抬高的汇率中只有一小部分反映在 DEX 价格中。10 月 23 日，Swell 的流动性质押和流动性质押再投资产品的锁仓量各约为 2,900 万美元，而数据来源显示 rswETH 的市值在 2,700 万至 5,800 万美元之间。

在以链上汇率为 swETH 或 rswETH 定价的借贷市场中，被抬高的数值将被视为抵押品。Cryptopolitan 此前曾追踪过类似的传染路径，当时 KelpDAO 的 rsETH 漏洞利用蔓延至 Layer 2 借贷市场。密钥泄露同样是 Fearless Wallet 扩展事件的原因，该事件将 Polkadot 用户的私钥发送到了攻击者的服务器。