2026年2月26日——位於越南的智能錢包項目DeFAI Holdstation（建立於Worldcoin和BNB Chain之上）確認在2026年2月25日凌晨遭遇嚴重的鏈上供應鏈攻擊。總損失金額為462,000 USDT。
這是該項目在2026年發生的第二起安全事件，之前在一月曾失約100,000美元。
供應鏈攻擊：不攻擊智能合約，而是攻擊分發基礎設施
根據官方公告，黑客並未直接入侵用戶錢包或智能合約。Holdstation和審計公司Verichains均表示，智能合約仍然安全。
相反，攻擊者將目標鎖定在應用分發基礎設施——即向用戶提供更新的渠道。
具體來說，黑客已經：
控制了基礎設施後，修改了正式版本應用中的JavaScript文件，在其中植入後門式惡意碼。用戶在更新應用時，無意中安裝了被感染的版本。
“靜默”提款機制
惡意碼設計為在安裝後立即運行：
結果是在發布被感染更新的幾分鐘內，許多錢包的資金被轉移。
Holdstation的緊急反應（30分鐘內）
根據公布的時間線（UTC+7）：
之後，Holdstation與Verichains合作，分析鏈上數據並收集證據以進行調查。
目前確認的總損失為462,000 USDT。
承諾100%賠付用戶
Holdstation承諾將全額賠付受影響資產的價值。用戶需填寫官方表單：
https://forms.gle/9FriUzFWHx6ZPXCS7
團隊將進行鏈上驗證並確認錢包所有權，然後進行賠付。項目強調，在賠付過程中不會要求提供種子短語、私鑰或任何費用。
行業的安全教訓
此次事件顯示，即使智能合約本身安全，軟件分發層的漏洞仍可能造成巨大損失。這是一種供應鏈攻擊——黑客入侵產品的“入口”，而非直接攻擊用戶。
Holdstation表示正在升級整個發布流程，包括：
此事件引起越南加密社群的高度關注，因為Holdstation是越南胡志明市一家知名的DeFi錢包項目。
項目承諾將在未來持續更新調查進展。
