跨链桥历史上的十大安全事件回顾

跨链桥作为连接不同区块链网络的重要基础设施,近年来频繁遭受攻击,造成巨额资金损失。本文回顾了跨链桥领域曾发生的十起重大安全事件,涉及资金总额超19亿美元,其中约15.5亿美元已被追回或赔付。这些事件反映出跨链桥面临的安全挑战,也为行业提供了宝贵的经验教训。

ChainSwap:两次攻击损失约880万美元

2021年7月,ChainSwap在短期内遭遇两次黑客攻击。首次攻击造成约80万美元损失,第二次攻击则损失约800万美元,影响了超过20个使用ChainSwap进行跨链的项目。

调查显示,攻击原因是协议未严格验证签名有效性,攻击者得以使用自生成的签名进行交易。鉴于损失主要是项目方的治理代币,多个受影响项目选择进行快照并重新发行代币,以补偿持币者和流动性提供者。

Poly Network:6.1亿美元资产被盗后全额追回

2021年8月10日,跨链协议Poly Network遭遇大规模攻击,在以太坊、币安智能链和Polygon上共损失约6.1亿美元资产。

攻击者利用了Poly Network合约权限管理的漏洞,成功将目标链的验证人地址替换为自己的地址,从而控制了资产转移。尽管攻击规模巨大,但黑客最终归还了全部资金。Poly Network称其为"白帽"黑客,并邀请其担任首席安全顾问。

Multichain:600万美元漏洞损失已基本赔付

2022年1月,Multichain发现一个影响多种代币的重要漏洞。虽然漏洞已修复,但仍有用户资产面临风险。一个月后的调查报告显示,共有7962个用户地址受影响,造成约604万美元的损失。

安全分析指出,问题出在Multichain检查用户传入Token合法性时的疏忽。官方已追回近50%的被盗资金,并提议对及时撤销授权的用户进行赔付。

QBridge:8000万美元攻击仅赔付2%

2022年1月28日,借贷协议Qubit的跨链桥QBridge遭攻击,损失约8000万美元。攻击者利用了QBridge在处理白名单代币转账时的漏洞,成功在BSC上铸造了大量xETH代币,并用这些代币从Qubit中借出其他资产。

目前Qubit使用率已大幅下降,官方数据显示98%的被盗资金尚未得到赔付。

Meter.io:440万美元损失拟用未来收益赔付

2022年2月6日,Meter Passport跨链桥遭攻击,造成440万美元损失。官方称问题出在扩展原始码中的"错误信任假设",让攻击者得以伪造BNB和ETH转账。

Meter最初计划用MTRG代币赔偿损失,但后经社区投票决定发行新代币PASS进行赔付,并承诺用未来收益回购PASS。不过目前尚未进行任何回购。

Ronin:6.2亿美元被盗后获赔付

2022年3月,Axie Infinity背后的Ronin链遭受攻击,损失约6.2亿美元。调查显示,攻击源于一起复杂的社会工程学攻击,黑客通过虚假招聘渗透到Ronin系统,最终控制了多个验证节点。

尽管被盗资金未能追回,但开发商Sky Mavis在币安领投下完成了1.5亿美元融资,用于赔偿用户损失。6月底Ronin桥重新上线,用户可获得赔偿,但由于ETH价格下跌,实际赔付价值有所缩水。

Wormhole:3.26亿美元漏洞损失获全额赔付

2022年2月3日,跨链协议Wormhole遭攻击,损失约12万枚ETH,价值3.26亿美元。漏洞出在Solana端核心合约的签名验证代码,攻击者得以伪造"监护人"消息铸造whETH。

事件后,Jump Crypto迅速为Wormhole注入12万ETH,弥补了全部损失。Wormhole随后恢复运行。

EvoDeFi:预计损失上千万美元未获处理

2022年6月,Oasis生态DEX ValleySwap上的USDT严重脱锚,造成大量资金流出。问题源于其使用的跨链桥EVODeFi在源链上流动性不足。

尽管具体损失金额未知,但预计在上千万美元级别。相关方均未就此事件给出明确解决方案,用户损失至今未获赔偿。

Horizon:近1亿美元损失赔偿方案仍在制定

2022年6月24日,Harmony官方跨链桥Horizon遭攻击,造成约1亿美元损失。调查显示,攻击可能由私钥泄露引发。

Harmony曾提议通过增发代币在3年内赔偿用户,但未获社区支持。目前项目方表示正在重新制定赔偿方案。

Nomad:1.9亿美元被盗,部分资金或将追回

2022年8月2日,Nomad跨链桥遭受攻击,约1.9亿美元资金被盗。分析显示,问题出在一次合约升级中的初始化错误,导致任何人都可以从桥上提取资金。

攻击涉及1251个ETH地址,其中ENS地址占总金额的38%。目前项目方尚未给出明确赔付方案,但已有部分白帽黑客表示愿意归还资金。

这些事件凸显了跨链桥的高风险性,任何跨链桥都可能再次出现安全问题。相对而言,背景较好、资金实力雄厚的项目在处理安全事故时往往更有能力找回资产或进行赔付。此外,团队的实时监控和快速响应也是防范攻击的关键。