Fluid 鏈外獎勵系統金鑰遭入侵：125,000 顆 FLUID 與 51,900 顆 GHO 被領走

Fluid 是借貸協議 Instadapp 改名後的主力產品，把使用者獎勵的發放放在鏈外的 Merkle 分配系統處理，由一組權限金鑰負責提交與核准每一期的獎勵根。這類鏈外環節向來是 DeFi 協議的信任弱點，因為它不像核心智慧合約那樣受鏈上規則保護。

攻擊發生在 5 月 27 日，直到 5 月 31 日才由鏈上研究員 YAM 公開揭露。一把外洩的金鑰讓攻擊者用「空證明」方式，從多個 Merkle 分配合約領走約 125,000 顆 FLUID 與 51,900 顆 GHO（約 5.19 萬美元），再把資金換成 ETH 送進 Tornado Cash。Fluid 事後以一筆批次交易撤換舊的提交者與核准者權限，暫停獎勵領取數天，並強調核心協議與所有智慧合約未受影響、使用者資金安全。社群則質疑官方延後數天才揭露，且聲明中未主動提到金鑰外洩與確切損失金額。