Ankr以太坊跨链桥遭攻击，超30万美元资产被盗

11月9日，Ankr的以太坊跨链桥遭遇严重安全漏洞，引发五笔未经授权的资金提取操作，造成超过30.3万美元的加密资产被转移。此次事件暴露了跨链桥在交易验证机制上的潜在缺陷，引发行业对多链互操作性安全性的广泛担忧。

攻击时间线与关键节点

攻击发生在美东时间凌晨3:09至3:12之间，五笔提款操作集中于同一目标钱包地址。尽管跨链桥的公开暂停标志在事发时仍显示为“未暂停”（false），但其交易历史在美东时间3:49后已无新增活动，表明系统可能已进入静默状态。

损失构成与代币流向

根据链上数据分析，此次攻击主要涉及三种已定价资产：价值约21.6万美元的82.91个ankrETH为最大损失部分；515,206个ankrPOL代币被转走，价值5.6万美元；另有798万个ANKR代币被提取，价值约3.1万美元。此外，还有5,372.25个aMATICb和0.8196个aETHb被转移，但由于缺乏市场价格数据，未计入总损失估算。

尽管总估值为30.3万美元，实际损失可能更高，因为攻击者已将资产转入新钱包，后续可能通过兑换或再质押实现价值变现。

攻击原理与技术漏洞

据区块链安全公司Blockaid披露，攻击核心源于11月3日在Optimism网络上的一笔小额存款记录。该笔存款仅涉及0.0044个ankrETH，且已在以太坊端完成赎回。

然而，攻击者在11月9日提交五次新的提款请求时，重复引用了该原始存款的收据信息，并篡改了接收方、金额及代币类型。系统未能识别出这些请求属于重复授权，致使跨链桥的验证流程被绕过。

Ankr的跨链桥依赖签名者审批机制来确认提款合法性。但当前记录无法确定是签名过程存在缺陷，还是收据验证逻辑出现漏洞，亦或是其他组件被利用。

公司回应与影响范围

截至目前，Ankr尚未就事件作出官方声明，也未公布受影响的具体合约范围或潜在用户赔偿方案。尽管媒体多次尝试联系，公司仍未提供进一步说明。

值得注意的是，此次事件并未波及Ankr的RPC基础设施或用户个人钱包，所有资金均来自跨链桥合约中锁定的资产。但外界仍担忧其底层架构是否与其他服务共享代码库，从而带来连锁风险。

同类事件对比与行业警示

这不是Ankr首次面临安全挑战。今年8月，其ankrFLOW合约曾因漏洞导致攻击者生成数百万无效代币，造成MORE Markets约41万美元损失。

同期，其他跨链桥也接连出事：10月，Cysic跨链桥遭攻击，攻击者在BNB链上伪造1000万个代币；8月，一家XRPL跨链桥因存款检测逻辑缺陷，导致近20万美元的XRP被盗，运营商已向联邦调查局报案。

这些事件共同反映出跨链协议在快速扩张过程中，安全审计与实时监控机制仍显滞后，亟需建立更严格的标准化审查流程。