Triple-A是一家总部位于新加坡的支付基础设施公司，使商户能够接受加密货币付款并以法定货币结算。该公司已确认其金库钱包遭到未经授权访问，据报导致公司自有数字资产损失1180万美元。

在公司发布声明之前，外界已进行了近三天的公开猜测。在此期间，链上安全公司追踪到的据报损失金额从约930万美元升至970万美元，随后接近1200万美元。

Triple-A在一份官方声明中表示，其于7月25日发现了未经授权访问。该公司称，受影响的钱包持有的是公司自有数字资产。

该公司表示：“客户资金未受影响。Triple-A不代表其客户提供数字资产托管服务，客户资金被单独存放在由保障机构维护的信托账户中，这些机构未受到暴露。”

Triple-A表示，作为预防措施，在保护受影响基础设施期间，该公司将某些服务置于维护模式约三小时。公司称，其所有服务随后已在各市场恢复正常运营。

该公司将此次事件描述为仅限于特定运营账户，并表示损失可由其金库储备吸收。Triple-A还称，其资本充足，能够履行债务。

该公司表示，正与内部和外部网络安全团队、区块链取证专家以及包括新加坡警察部队在内的执法机构合作，以追踪资金并寻求追回。

链上分析师Specter最早在7月24日和25日报告了与Triple-A相关的钱包出现异常流出。PeckShield随后跟进了这些活动，两家公司将早期估计损失定为略高于970万美元。资金从六个网络被转出：Ethereum、TRON、Polygon、Arbitrum、Solana和TON。

在获得访问权限后，攻击者窃取了稳定币和其他流动性资产，迅速在去中心化交易所进行兑换，然后将所得资金跨链至Ethereum。这些资金被整合到一个持有约5,227 ETH的单一地址中。

这种模式类似于今年多起攻击事件中出现的洗钱方法，即将多链被盗资产转换为一个流动性头寸。Ethereum常被用于此类资金流动，因为其跨链桥和兑换流动性较深。

Specter的警报还称，这些转账是分多批进行的，而不是一次性提取。警报还补充称，在资金持续被转出期间，存款并未被禁用，这表明钱包运营方可能没有实时识别到资金正在被抽走。

Triple-A声明称此次事件影响的是金库资产而非客户资金，这对使用该平台的商户具有重要意义。然而，该事件也引发了疑问：一家获得新加坡金融管理局许可的Major Payment Institution，同时拥有欧盟授权和迪拜VARA原则性批准的机构，为何会在一个周末将接近1200万美元置于联网钱包中，并在资金被转移时未被察觉。

此案在新加坡以外也具有重要意义，因为Triple-A运营的是支付技术栈中对稳定币采用至关重要的一环：让商户能够接受USDC或USDT，并在不直接使用加密货币交易所的情况下以法定货币收款的基础设施。这使其与尼日利亚及泛非金融科技公司越来越多接入的稳定币兑法币服务提供商同属一个大类，用于跨境结算。

该事件凸显了稳定币支付模式中的一项风险：运营金库资金可能留存在热钱包中，一旦安全控制失效，资金可能迅速被转走。许可资质和托管合作关系并未阻止此次漏洞。根据Triple-A的说法，保护其客户的是资金隔离结构，即客户资金存放在受影响钱包之外、由保障机构维护的信托账户中。

对于正在使用或评估类似支付通道的非洲金融科技公司而言，该事件凸显了对支付合作伙伴进行尽职调查的必要性。关键问题包括：与冷存储相比，热钱包中持有多少价值；客户资金如何在法律上与运营金库资产分离；以及服务提供商的储备是否能够在不造成服务中断的情况下吸收类似损失。