风险传导：谁中招了？
撰文：KarenZ，Foresight News
2026 年 3 月 22 日，Resolv 遭遇严重安全事件。攻击者通过被泄露的私钥未经授权访问了 Resolv 基础设施，仅用两笔交易、20 万美元，就铸造出 8000 万枚无抵押 USR 稳定币。
攻击者的退出策略同样干净。攻击者把 USR 在多个 DEX 拆分兑成 USDC 和 USDT，再转换成 ETH，最终钱包里沉淀着 11,408 枚 ETH，折合约 2400 万美元。
USR 价格一度跌破 0.03 美元，目前回升至 0.3 美元附近，锚定仍未恢复。
这是 2026 年迄今最具代表性的 DeFi 安全事故之一，并且传导到了多个协议。其中，争议最大的莫过于 Morpho 和 Fluid。
风险传导：谁中招了？
USR 作为抵押品和交易对，已嵌入到多个 DeFi 协议。USR 的剧烈脱锚，触发了一场连锁反应。
Morpho：预言机和风险管理的失灵
Morpho 官方第一时间表示，协议底层合约没有漏洞。但「没漏洞」和「没问题」、「没损失」是两回事。
Morpho 官方最新披露，在存款超过 1 万美元的 500 个金库中，约有 15 个金库对受影响市场有较大敞口。
有套利者在 USR 脱锚后以折价买入，再把它抵押进协议，而协议内部预言机仍以 1 美元计价。套利者用这个价差借出真实的 USDC，套走了金库里的稳定币流动性。
为何会这样？除预言机问题外，真正让损失失控的，是 Morpho 上一个叫「Public Allocator（公共分配器）」的功能。
这个功能的设计初衷是好的：监控各借贷市场的利用率，当某个市场收益飙升时，自动从金库调拨 USDC 过去，帮策展人捕捉更高收益。在正常市场里，这是一个优雅的资本效率工具。
但攻击发生后，USR 市场因为清算和套利，利用率瞬间爆表。Gauntlet 等机构的自动化金库检测到了「高收益信号」。他们不知道那是一个「有坑」的市场——于是开始源源不断地往里注资。
Chaos Labs 创始人 Omer Goldberg 还原了这场荒诞剧的时间线：Gauntlet 在攻击发生后 20 分钟就启动了自动配置，持续约 90 分钟；另一家策展人 9summits 甚至在攻击后持续供款长达 10 小时，直到被人工发现才停止。包括 Gauntlet、re7、kpk 和 9summits 在内，多家策展人均在事发后向 Resolv 市场自动供应了资金。
Omer Goldberg 统计数据显示，共有约 620 万美元的 USDC 被作为「退出流动性」，「喂」给了 USR 的借款人，其中 96% 的资金（约 600 万美元）来自 Gauntlet 管理的金库。
Omer Goldberg 还指出了两个致命点：一个是 Morpho 的这些市场使用了硬编码的预言机，在极端脱锚时无法及时反映资产已归零或严重贬值；另一个是风险管理的失职，策展人或者风险管理者的角色本应是在压力测试下进行人工判断，但在此次事件反应迟钝。
Fluid：伤得最深，争议最大
在所有受波及的协议里，Fluid 也是此次事件讨论度最高的协议之一。
理解这一点，需要先理解 Fluid 这个协议本身的结构。
Fluid 由 Instadapp 团队于 2024 年推出。Instadapp 从 2018 年起以 DeFi「中间件」身份运营，之后团队意识到仅靠组合已有协议创新空间有限，于是下场自建——构建了一个把借贷和交易流动性彻底融合的协议：Fluid。
Fluid 的核心设计哲学是：把借贷和交易的流动性打通，让同一笔资产可以同时干多件事，具体通过两个创新机制实现：
Smart Collateral（智能抵押）：存进来的抵押品，同步作为 AMM 流动池的做市资金，一边等你还钱，一边帮别人撮合交易、赚手续费。
Smart Debt（智能债务）：借出来的钱，不是闲置的，而是自动注入 AMM 流动池充当流动性，赚取的交易手续费反过来抵消借款利息——极端情况下甚至可以实现「负利率借贷」。
凭借这套设计，Fluid 把 LTV（贷款价值比）做到了 95%，清算惩罚低至 0.1%。这套机制在正常市场里是优势，但在极端脱锚面前，容错空间几乎为零——任何微小的抵押品价值波动都可能引发连锁清算。
那么，Resolv 攻击如何会波及到 Fluid？
问题出在 Fluid 的借贷市场上。Fluid 此前接受 wstUSR（Wrapped Staked USR）作为抵押品。当 USR 下跌时，这些仓位的抵押品价值瞬间蒸发。
坏账是必然结局。在如下 Fluid 借款页面中，展示了 wstUSR（Resolv 的 staked USR 版本）作为抵押品的多个市场状态。
Omer Goldberg 统计数据显示，Fluid 的潜在坏账再 1100 万美元以上。
来源：Omer Goldberg
针对此，Fluid 表示团队已获得短期贷款，以覆盖协议中目前 100% 的坏账。该部分资金由 Cyber Fund（Fluid 投资方之一）的 Konstantin Lomashuk、Jupiter 联合创始人 meow 和 Fluid 核心团队共同出资。同时，多位投资者表示，如需额外资金，有意愿从财库购买 FLUID 代币，进一步兜底。
Fluid 创始人 Samyak Jain 也公开表态：「接下来 2 到 4 周，会重点做两件事：提升 Fluid 安全性，以及把安全机制自动化。要让机器人在 30 到 60 秒内做出反应，而不是等团队反应——团队可能需要 30 到 60 分钟。Fluid 将建立最复杂的安全基础设施，允许协议的特定部分根据市场情况自动进入冻结状态。」
那市场究竟买不买账？DefiLlama 数据显示，Fluid TVL 已从 USR 攻击发生前的 12.5 亿美元跌至当前的 8.7 亿美元，一天跌去 3.8 亿美元的 TVL，跌幅达 30%。
从价格来看，Morpho 24 小时下跌 3.64%，而 FLUID 24 小时跌幅高达 15%。
还有哪些受波及协议和参与方？
RLP 持有者：RLP 是协议的「险资池」，专门为 USR 持有者兜底，但是收益会更高。@yieldsandmore 统计：事发前 RLP 总流通量 29,999,625 枚，约合 3860 万美元，而其最大持有方是 Stream Finance，这家在 2025 年 11 月因合作方挪用资产损失 9300 万美元的协议，在 Morpho 上持有约 1360 万枚 RLP，净风险敞口约 1700 万美元。值得注意的是，Stream Finance 的官推自 2025 年 11 月起已无任何更新。
杠杆收益策略产品 yoUSD：同样使用 RLP 作为抵押品，对 RLP 的敞口为 2.75%，持有 943,248 枚 RLP。
Inverse Finance：响应较快。官方表示，风险工作组在 USR 首次被攻击后 15 分钟内暂停了 wstUSR-DOLA FiRM 市场。清算人快速跟进后，最终坏账仅 34 万美元。
小结
把镜头拉远，Resolv 事件给整个 DeFi 行业抛出了一个极其尖锐且难以回避的问题：协议的安全底线，早已不再仅仅依赖于代码审计。
审计是事前的，监控是实时的，这两者缺一不可。真正的防护，也需要在运行时实现实时、持续的监控，一旦发现任何异常（储备不匹配、操作者签名异常等），必须在秒级甚至毫秒级触发「硬熔断」，阻断风险扩散。
对于任何接受外部稳定币作为抵押品的借贷、衍生品或流动性协议，更要清楚：你能掌控自己的智能合约，却永远无法掌控你所依赖的那枚稳定币的铸币逻辑、密钥管理与运营安全。这类外生风险，是 DeFi「乐高式」组合架构里最顽固、最难根治的结构性短板。
同时，在 DeFi 追求极致效率的同时，必须同步建立起更强的风险隔离与外部依赖防火墙。否则，每一次「乐高积木」的拼接，都可能在下一秒变成多米诺骨牌的起点。
安全，从来不是锦上添花，而是 DeFi 长期存续的生死线。