7 月 25 日晚間，zkSync 上 TVL 最高的借貸協議 EraLend 突遭黑客攻擊。黑客通過操縱預言機的價格，從 EraLend 的 USDC 池獲取了約 276 萬美元資金，其他資金池未受影響。事件發生後，EraLend 暫停止所有池子的借款（Borrow），以及 USDC 池和 SyncSwap LP 池的存款（Supply）功能。
在這次攻擊事件中，受害的不僅是 EraLend 使用者，還引發了連鎖反應。穩定幣 USD++持有者也蒙受了損失。
USD+是誰？
USD+是由 overnight.fi 發行的一款在 OP、Arb、zkSync 等多鏈均有部署的穩定幣產品。與常見的穩定幣依託於法幣儲備有所不同，該產品並不與法幣直接產生聯絡，而是與 USDC 1: 1 掛鉤。
（USD+的資產儲備）
而 USD+另一個吸引人的特性在於，該穩定幣持有即可獲得收益。項目方將儲備資產投資於多項 DeFi 協議。因此該產品可理解 DeFi 世界中的貨幣市場基金，USD+可產生 1% ～ 5% 的收益率，利潤將會進行每日分配。
官方文件的介紹表示，使用 USD+的好處如下：可避免深入的市場研究和頻繁交易、參與眾多 DeFi 協議的使用、無需質押即可獲取收益。此外，官方還在文件中專門作出宣告：“請注意，您將承擔 USD+抵押品中所有協議的風險。”
若一切運轉良好（如項目方所預期的那樣），那麼使用者可擁有一個完全在鏈上執行、去中心化、持有即可生息的穩定幣資產。這一切聽上去似乎非常美好。然而天不遂人願，EraLend 的安全事件讓 USD+走上了另一個方向。
城門失火，殃及池魚
為何持有 USD+使用者即可獲得收益？因為該項目的儲備資產包括大量 DeFi 資產。而不幸的是，其中也包括了 EraLend 存款。
官方表示，USD+儲備資產被存入 EraLend，並以此作為抵押借入 ETH。將二者組成 USDC/ETH LP，並在 mute.io 獲取收益。事情發生後，約 283 枚 ETH 和 52 萬枚 USDC 已被從 LP 對中所提取。
（鏈上操作記錄）
官方表示，由於該項目組 LP 貸出了大量 ETH，因此在 EraLend 上的淨資產敞口並不大（官方的用詞為“敞口已被抵消”）。但該項目仍然面臨了一部分的穩定幣損失。
到目前為，Overnight 官方尚未在社交媒體上披露本次安全事件中的具體損失。但可根據 Overnight 持有的敞口進行估算，Overnight.fi 在 EraLend 持有 786, 162 美元，並借入約 283.0596 ETH（524, 509 美元）。這導致潛在的最大損失為 261, 652 美元。約 26.1 萬美元，目前 USD+的供應量為 3, 330, 769 枚，因此潛在損失約為市值的 7.86% 。
rebase 是如何奪走使用者資產的？
在損失發生後，Overnight 團隊的處理引發了所有使用者的不滿。
團隊表示，將對USD+進行“rebase”，以此來恢復其幣價穩定。但對於如何進行 rebase 缺並未在推特中進行詳細說明。
通過多方使用者評論和社群的操作我們才最終得知，所謂的 rebase，即將現在的 USD+按照儲備價值重新鑄造為數量更少的 USD+。即讓使用者買單來彌補本次事件的損失。
同為 SyncSwap 生態的另一DEX 項目 SyncSwap 則貼心的為廣大使用者進行了說明。USD+團隊將為 USD+持有者和流動性提供者拍攝快照，以用於在將來補償使用者受影響的資金，但只有那些提款的人才會被包含在快照中。若使用者進行取款，即會被進行“rebase”，即直接縮減餘額。
推特使用者@Jue 0123 將自己的 USD+進行了提款。但他驚訝地發現， 326 枚 USD+僅能兌換 267 枚 USDC。
在官方推特下，使用者都對此怨聲載道。直言，“你們偷走了我的錢！”
團隊操作：不負責任、刪除公告
除對資產損失處理糟糕之外，對本次事件的公關態度也同樣糟糕。
在公佈了 rebase 之後，Overnight 官方推特開始進入了“灌水”模式，瘋狂傳送了多條推文。目前已經很難在官推前幾屏內刷到安全事件相關的推文。
此外，官方表示“您可以在我們的 Discord 上找到更多詳細資訊。”但官方披露本次安全進展的Discord 公告已無法開啟。
在 Overnight 官網中，我們可以從明顯位置看到 Overnight 的三個產品：USD+、ETS、USD+保險。
USD+明確寫明該產品已被保險保護，“任何損失都將從保險基金中獲得賠償”。而 USD+保險則註明：該產品從USD+收益中收取一部分作為保費，USD+的損失首先由保險基金支付。
而實際上，不僅 USD+的安全機制設計完全失靈。其保險機制並未產生任何作用，一系列後續處理操作更是令人大跌眼鏡。
更離譜的是，Overnight.fi 官網公佈了九位團隊成員資訊，並稱有著 Google、Facebook 等網際網路就職經歷。Odaily 星球日報根據官網公佈的 Linkedin（領英）連結查詢，上述 9 人全部查無此人。整個項目可謂疑雲重重。
在鏈上世界，Code is law，但沒有任何項目方的單方面承諾是值得信任的。Odaily 星球日報提示廣大使用者注意資產安全。
