安全研究員 Spreek 於 10 月 22 日通報，一名持有 Swell DAO 營運熱金鑰的行為者在沒有新增 ETH 支撐的情況下，以每小時 1% 的上限推高其 swETH 與 rswETH 流動性質押代幣的匯率。

流動性質押代幣的匯率通常只會隨質押獎勵累積而上升，因此在沒有新增 ETH 支撐下的調升，會使申報匯率高於協議實際持倉所能支持的水準。此發現浮現於雲端平台 Railway 披露入侵者可能已取得客戶所存機密的數小時之後。

兩種代幣共錄得五次約 1% 的匯率調升

Spreek 於 01:28 UTC 在 X 上分享調查結果，指出兩種代幣的管理金鑰「似乎已遭入侵（與 Railway 有關？）」。該貼文稱，攻擊者「每小時以最高 1%（無支撐）的幅度調高 NAV」。

Phylax Systems 創辦人 Odysseus 將此活動稱為「BOT 金鑰濫用」，並統計出三次 swETH 與兩次 rswETH 各約 1% 的匯率調升。Swell 公布的預言機程式碼將重新定價快照的提交權限僅限於 BOT 角色。該機器人運行於熱金鑰之上，熱金鑰持續在線且無需人工參與即可簽署交易——這種安排使鏈上匯率的準確性繫於一組永遠在線的憑證。此類匯率上限限制預言機在單次更新中可移動價格的幅度；在此事件中，它們決定了未經授權調升的速度。

以太坊紀錄顯示，單一地址於 10 月 21 日 23:02 UTC 提交 swETH 快照，隨後於 10 月 22 日 00:04 與 01:08 UTC 再次提交。截至 10 月 22 日的申報數據顯示，swETH 約高出 1.1334 ETH 達 3.0%，而 rswETH 較 1.082464 ETH 上升約 2.0%。

Railway [於 10 月 21 日表示]( API 金鑰與註冊表憑證。該平台已凍結所有部署，並敦促用戶輪替所存機密。

同日，加密調查員 Tay 表示，一名攻擊者利用存放於 Railway 的金鑰，從至少 19 條 EVM 鏈上的錢包竊取約 371,000 美元。Railway 資料外洩與 Swell 事件之間的關聯尚未獲證實。

四個惡意升級合約可能竊取約 2,500 ETH

Swell 於 10 月 22 日 03:03 UTC 在 X 上表示，其已知悉「swETH 與 rswETH 合約出現可疑活動」的通報，並正與安全夥伴共同調查。「沒有任何 ETH 離開 swETH 或 rswETH 的提款或存款合約，」團隊寫道，並補充用戶無需採取任何行動。

10 月 23 日，Swell 暫停 swETH 與 rswETH 的存款與提款，表示待 NAV 恢復至正確數值後才會恢復這些功能。匯率決定每個代幣在存款與提款時可兌換的 ETH 數量，這也是重新開放這些功能取決於修正後數值的原因。

Spreek 亦通報，四個惡意升級合約已被部署，一旦執行可能竊取約 2,500 ETH。Odysseus 估計 Swell 持有 2,513 ETH，同時指出該金額「並非已證實的損失」。截至通報時，尚無任何升級被執行，其狀態、NAV 修正以及與 Railway 事件的任何已證實關聯，均是後續關注重點。

據報導，研究中部分細節是在 AI 協助下整理，且尚未經核實。

虛高匯率對借貸市場構成傳染風險

據報導，只有一小部分虛高匯率反映在 DEX 價格中。10 月 23 日，Swell 的流動性質押與流動性再質押產品的鎖定總價值各約為 2,900 萬美元，而數據來源顯示 rswETH 的市值介於 2,700 萬至 5,800 萬美元之間。

在以鏈上匯率為 swETH 或 rswETH 定價的借貸市場中，該虛高數值將被計為抵押品。Cryptopolitan 此前曾追蹤過類似的傳染路徑，當時 KelpDAO 的 rsETH 漏洞波及 Layer 2 借貸市場。金鑰外洩也是 Fearless Wallet 擴充套件事件的主因，該事件中 Polkadot 用戶的私鑰被傳送至攻擊者的伺服器。