Echo Protocol 管理員私鑰遭竊：攻擊者在 Monad 上憑空鑄出 7,700 萬美元 eBTC

2026 年是 DeFi 安全的災難年。4 月就被 Drift（2.85 億美元）跟 Kelp DAO（2.92 億美元）兩次破紀錄攻擊抽掉接近 6.45 億美元，5 月到目前為止已經 14 起，前一週 THORChain 跟 Verus 才剛各被搬走 1,000 萬美元上下。共通點不是合約有漏洞，而是「管理員私鑰」本身被偷。Q1 2025 私鑰外洩就佔了被盜資金的 88%，但這個風險仍然被當作次要問題在處理。

沒想到 Echo Protocol 5/19 直接把所有錯誤一次犯齊。攻擊者拿到 eBTC 在 Monad 上的單一管理員私鑰後，憑空鑄出 1,000 顆 eBTC（約 7,700 萬美元），把 45 顆丟進借貸協議 Curvance 當抵押，借出 11.29 顆 WBTC、跨橋換成 ETH、384 顆送進 Tornado Cash 洗成 82.2 萬美元。Echo 自陳合約「完全照設計運作」，但管理員角色用單一簽章、沒 timelock、沒鑄幣上限、沒 supply sanity check，Curvance 也沒驗證新鑄出的抵押品來源。事後 Echo 收回管理員權限、把剩下 955 顆 eBTC 銷掉，Aptos 上的 aBTC 部署沒受波及。