Stake DAO 部署私鑰外洩：攻擊者鑄出兆級 vsdCRV，但因流動性不足僅變現 9.1 萬美元

Stake DAO 是 Curve 生態系統裡專做投票權代幣管理的非託管質押協議，主力產品 vsdCRV 用 LayerZero v2 OFT 做以太坊與 Arbitrum 之間的跨鏈通訊。跨鏈橋的安全性取決於誰能改合約設定，而 Stake DAO 的部署人地址恰好握有這個權限。

5/27 攻擊者拿到部署人私鑰，把 vsdCRV 合約的 LayerZero peer 從原本的 OFTAdapter 切換成自己控制的惡意合約，再用一筆偽造跨鏈訊息鑄出 5.4 兆顆 vsdCRV。紙面價值約 7,630 億美元，但 DEX 流動性極淺，攻擊者把 1,683 萬顆換成 43.7 顆 ETH 後池子就乾了，實際變現只有 9.1 萬美元。問題不是智慧合約漏洞，而是最傳統的 opsec 失誤：私鑰外洩。