黑客7小时内两次攻破加密桥，盗取3160万美元

跨链桥安全问题接连爆发：7小时内两起攻击致损失逾3160万美元

调查人员报告称，两起独立的跨链桥攻击事件仅相隔数小时发生，这再次凸显跨链桥安全问题仍是加密货币市场的主要痛点。据链上分析公司Blockaid称，这两起事件的总盗窃金额超过3160万美元，被盗资金来自去中心化永续合约交易所AFX使用的桥基础设施以及Verus以太坊桥。

Blockaid表示，AFX的桥在周三损失了2415万美元，随后针对Verus以太坊桥的攻击又导致约750万美元的桥储备金被耗尽。这两起接连发生的事件表明，即使攻击并非源于单一链层面的漏洞，桥运营商及其集成的协议也可能面临风险。

关键要点

Blockaid报告称，在数小时内，AFX在Arbitrum上运营的桥损失了2415万美元，而Verus以太坊桥则被窃取了约750万美元。

Offchain Labs联合创始人Stephen Goldfeder表示，Arbitrum的原生桥并未被黑客攻击，并指出问题源于第三方协议的活动。

安全研究人员认为，AFX事件可能涉及密钥泄露，而非智能合约逻辑缺陷。

Blockaid表示，Verus攻击事件似乎与5月的一起事件相似，采用了类似的手法，但涉及不同的攻击者钱包。

这两起案例都凸显出，由于桥托管着大量资产池并在不同生态系统间转移价值，它们仍然是高价值目标。

Arbitrum上的AFX桥攻击：目标是什么？

Blockaid表示，其于UTC时间晚上9点30分检测到一次攻击，目标是在Arbitrum上运行的去中心化永续合约交易所AFX所运营的桥。调查将此次事件定性为影响第三方集成的桥攻击，而非Arbitrum核心桥基础设施的漏洞。

据Offchain Labs联合创始人Stephen Goldfeder称，有关桥被黑客攻击的报道在网络上流传，但该事件影响的是源自第三方协议的交易，而Arbitrum原生桥本身并未被利用。Goldfeder表示，相关交易源自另一个协议，并强调Arbitrum的原生桥"并未以任何方式被黑客攻击或利用"。

DeFi安全社区DeFiHackLabs的创始人兼SEAL贡献者SunSec的进一步分析表明，证据更倾向于密钥泄露，而非智能合约逻辑的漏洞。虽然这一区别对事件响应至关重要——密钥泄露通常需要紧急轮换凭证并进行更广泛的访问审查——但也表明最薄弱的环节可能并非总是桥合约本身。

有关AFX事件的更多报道，可参考Blockaid及相关调查人员的观察结果。

Verus以太坊桥攻击：与5月事件手法相似

在另一起独立事件中，Blockaid报告了一起针对Verus以太坊桥的攻击，导致桥储备金中持有的多种资产损失约750万美元。列出的代币包括以太币、tBTC、USDC、USDt、EURC、MKR和scrvUSD。

Blockaid表示，此次攻击手法与5月报道的Verus以太坊桥事件相似，当时导致了1158万美元的盗窃。在那起较早的事件中，Blockaid表示攻击者采用了相同的整体方法，但钱包地址不同。

据Blockaid称，攻击者利用桥的"导入路径"触发了"无支持的以太坊侧支出"。实际上，这指向了一个工作流程层面的弱点：攻击者可能能够诱使桥在系统的一侧释放资产，而另一侧却没有相应的资产支撑，从而直接导致储备金被耗尽。

对于用户和集成商来说，这种重复出现的策略带来了持续的风险：即使团队修补了一个漏洞，如果底层假设没有得到彻底解决，导入和支出处理的操作机制仍然可能被利用。

桥故障为何屡屡发生？

跨链桥攻击难以完全消除，因为跨链基础设施通常包含多个组件：资产托管、消息传递或导入/导出机制，以及触发结算流程的权限控制。当攻击者在这些组件之间找到缝隙——无论是通过泄露的凭证、错误的授权，还是跨链状态验证方面的弱点——结果往往是资金的迅速流失。

链上调查员TheCrypticWolf在X平台上的一篇文章中总结了这一更广泛的问题，认为在"安全升级"之前，桥仍然是一个薄弱环节。虽然这一表述反映了一种普遍观点，而非针对特定事件的新证据，但同一天内发生的两起攻击事件为其提供了具体支持：高价值的桥储备金使系统具有吸引力，而高复杂性则使全面加固变得困难重重。

这两起事件之间还存在一个重要不对称性。Blockaid关于AFX事件的报告与Goldfeder的澄清同时出现，后者指出Arbitrum的原生桥并未受损，这表明问题出在第三方集成或与特定协议相关的桥控制上。相比之下，Blockaid对Verus事件的描述则强调了桥导入机制如何可能导致以太坊侧出现没有适当支撑的支出——这一问题可能更直接地与结算逻辑和状态假设相关。

受影响的生态系统接下来应关注什么？

与桥相关的事件通常会导致紧急措施，例如暂停控制、加强监控以及更改托管或授权工作流程。读者应关注AFX和Verus生态系统后续的披露信息，特别是Blockaid及其他调查人员关于根本原因的结论——无论是密钥泄露、授权失败，还是导入/导出结算中可重复利用的弱点。

更广泛地说，这些事件再次强调，跨链风险并不仅限于桥运营商本身：依赖桥进行流动性和结算的去中心化应用和交易者，应将桥安全视为一个持续演变的威胁，而非一次性解决的检查项。