區塊鏈資產管理協議 Swan Treasury 遭受了估計 625,000 美元的損失，此前攻擊者利用洩露的鏈下簽名者金鑰，以大幅折扣購買 STY 代幣，然後再出售獲利。
據區塊鏈安全公司 Defimon Alerts 稱，此次攻擊發生在 BNB 鏈上，此前協議的鏈下簽名者金鑰（在 ZhaiquanBuy 合約中硬編碼為 _signer 地址）遭到洩露。
攻擊者利用洩露的金鑰為自己的錢包生成了有效簽名，使其能夠繞過協議預設的購買限制。
Defimon Alerts 表示，攻擊者操縱了 buy() 函數，該函數根據簽署的折扣值計算用戶收到的 STY 數量。透過生成一個折扣參數設為一的有效簽名，攻擊者以其預期價格約百分之一的價格購買了 STY。
攻擊者利用價值約 19,700 USDT 的 PancakeSwap 閃電貸，透過折扣購買機制獲得了近 687,000 個 STY 代幣。
這家安全公司表示，漏洞利用並未止步於此。相關合約的 claim() 和 transfer() 函數的有效簽名也被偽造，使攻擊者在將代幣出售到 STY/USDT 流動性池之前，獲得了額外存取 STY 的權限。
據 Defimon Alerts 稱，平倉後，攻擊者實現了約 625,000 USDT 的利潤。
該公司警報指出，事件發生時 STY 的交易價格約為 2.87 美元。
在其技術評估中，Defimon Alerts 表示，在漏洞利用期間觀察到的每次 ecrecover 操作都解析為協議硬編碼的簽名者地址，而非任何攻擊者控制的帳戶。
該公司表示，這種行為表明是私人簽名者金鑰本身已遭洩露，而不是協議的簽名驗證邏輯存在缺陷。由於生成的簽名與預期的簽名者完全匹配，這些交易對受影響的智能合約來說是有效的。
這一發現將漏洞利用的可能原因限縮於未經授權地存取協議的簽署憑證，而非密碼驗證過程中的錯誤。
截至發稿時，Swan Treasury 尚未公開解釋簽名者金鑰是如何洩露的，也未說明是否已實施額外的緩解措施。
此事件增加了加密貨幣攻擊的案例，在這些攻擊中，受損的特權金鑰（而非智能合約漏洞）讓攻擊者得以存取協議資金。
在 2025 年 6 月，區塊鏈安全公司 Hacken 披露，一個與具有鑄幣權限的合約相關聯的受損私鑰，使攻擊者能夠在以太坊和 BNB 鏈上創建 9 億個 HAI 代幣。
Hacken 表示，該金鑰是在公司對其區塊鏈橋接基礎設施進行架構變更時洩露的，這使攻擊者在受影響的鑄幣帳戶被撤銷和橋接操作暫停之前實現了約 250,000 美元的收益。
獨立研究也持續將私鑰暴露識別為業界最持久的安全風險之一。crypto.news 引用的一份 Hacken 報告此前發現，存取控制失敗（包括私鑰洩露）佔 2024 年記錄的加密貨幣駭客損失的 78%。
最近，Zilliqa 披露其原生 Ledger 應用程式存在一個漏洞，可能允許攻擊者從公共交易簽名中恢復私鑰。該網路在確定 nonce 生成中的弱點使得收集足夠簽名後有可能重建受影響的金鑰後，暫停了原生 ZIL 交易。
Zilliqa 表示，問題源於其自身的 Ledger 應用程式而非 Ledger 硬體本身，並指示受影響用戶等待恢復指南，而不是立即轉移資金。
學術研究人員和加密行業參與者也同樣警告稱，私鑰安全在傳統智能合約漏洞利用之外仍然脆弱。
加州大學的研究人員今年早些時候報告稱，一些第三方 AI 路由服務能夠存取敏感憑證，包括加密貨幣私鑰和助記詞，因為它們以明文形式處理用戶請求。
在受控測試期間，研究人員觀察到多個路由服務的惡意行為，並證明一個中介在收到其私鑰後，成功地從測試錢包中竊取了以太幣。
儘管這項大學研究與 Swan Treasury 事件無關，但研究人員得出結論，開發人員應避免將私鑰或助記詞暴露給中介系統，而應依賴更強大的密碼保護來降低憑證被盜的風險。
