跨链桥安全事故回顾：10起重大攻击案例分析

区块链生态系统中存在众多公链，但由于缺乏主流资产，许多项目不得不依赖跨链桥从以太坊等主要公链获取资产。然而，近期DeFi领域安全事故频发，跨链桥因其高额资金流动和频繁操作成为攻击者的主要目标。本文将回顾过去发生的10起重大跨链桥攻击事件，提醒开发团队时刻警惕安全风险。值得注意的是，背景实力雄厚的跨链桥项目在遭遇安全事故后，往往更有能力追回资产或为用户提供赔偿，因此用户选择实力较强的跨链桥可能会更加安全。

ChainSwap：800万美元损失，重新发行代币

2021年7月，ChainSwap连续遭受两次黑客攻击，首次损失约80万美元，第二次损失高达800万美元。第二次攻击影响范围较广，超过20个使用ChainSwap进行跨链的项目受到波及。

经调查，事故原因在于协议未严格验证签名有效性，使攻击者能够使用自行生成的签名对交易进行授权。由于损失主要涉及项目方的治理代币，包括ChainSwap在内的多个项目决定进行快照并发行新代币，以补偿代币持有者和流动性提供者。

Poly Network：6.1亿美元被盗，全数追回

2021年8月10日，跨链互操作协议Poly Network遭到大规模攻击，在以太坊、币安智能链和Polygon网络上分别损失2.5亿、2.7亿和8500万美元的资产，总损失高达6.1亿美元。

攻击主要利用了Poly Network合约权限管理逻辑的漏洞。攻击者成功修改了目标链的验证人地址，从而获得了资产转移的签名权限。尽管攻击者初期使用隐私代币XMR作为资金来源，最终还是选择归还全部被盗资金。Poly Network随后将其称为"白帽"黑客，并提出聘请其担任公司首席安全顾问。

Multichain：600万美元损失，部分资金已追回

2022年1月，Multichain发现一个影响多种代币的重要漏洞。虽然漏洞已修复，但仍有部分用户因未及时撤销授权而遭受损失。据统计，共有1889.6612 WETH和833.4191 AVAX被盗，按当时价格计算约值604万美元。

慢雾安全团队分析指出，此次事故源于Multichain在验证用户传入Token合法性时存在疏漏，未考虑到并非所有underlying代币都实现了permit函数。截至官方发布调查报告时，已有近50%的被盗资金被追回。团队提出了退还资金的提案，但对2月18日后的损失不再赔付。

QBridge：8000万美元损失，赔付进展缓慢

2022年1月28日，借贷协议Qubit的跨链桥QBridge遭受攻击，损失约8000万美元。攻击者利用了QBridge在处理白名单代币转账时未再次检查零地址的漏洞，成功在BSC上凭空铸造大量xETH代币，并用这些代币从Qubit借出其他资产。

目前Qubit使用率已大幅下降，官方数据显示仍有98%的被盗资金未得到赔付。

Meter.io：440万美元损失，承诺用未来收益赔付

2022年2月6日，Meter Passport跨链桥遭到攻击，造成440万美元的损失。Meter官方表示，问题出在扩展原始码中的"错误信任假设"，使攻击者能够伪造BNB和ETH转账。

Meter最初计划用MTRG代币赔偿用户损失，但经过社区投票后决定发行新的PASS代币进行赔付，并承诺用未来收益回购PASS代币。然而，目前尚未进行任何回购操作。

Ronin：6.2亿美元损失，已全额赔付

2022年3月，Axie Infinity背后的Ronin链遭遇大规模资金盗窃，损失高达6.2亿美元。这次攻击源于一起精心策划的社会工程学攻击，攻击者通过伪装成招聘公司，成功渗透到Sky Mavis的系统中，最终控制了Ronin网络的多个验证节点。

尽管被盗资金未能追回，但Sky Mavis通过币安领投的1.5亿美元融资成功为用户提供了赔偿。值得注意的是，由于ETH价格在攻击至赔付期间大幅下跌，实际赔付价值较攻击时有所减少。

Wormhole：3.26亿美元损失，已全额赔付

2022年2月3日，跨链协议Wormhole遭受攻击，损失约12万枚ETH，价值3.26亿美元。攻击者利用了Solana端Wormhole核心合约签名验证的漏洞，成功伪造"监护人"消息来铸造whETH。

所幸Jump Crypto（Wormhole开发公司Certus One的收购方）迅速注入12万ETH，弥补了Wormhole的损失，使其得以恢复运营。

EvoDeFi：估计损失上千万美元，尚未解决

2022年6月，Oasis生态DEX ValleySwap上的USDT严重脱锚，造成大量用户损失。问题源于所使用的跨链桥EVODeFi在源链上流动性不足。虽然EVODeFi将问题归咎于FUD引发的恐慌，但Oasis官方已明确与ValleySwap和EvoDeFi撇清关系，指出EvoDeFi存在高风险且未经审计。

目前用户损失尚无解决方案，ValleySwap和EVODeFi的官方渠道均已停止更新，疑似项目方已跑路。

Horizon：近1亿美元损失，赔偿方案仍在制定中

2022年6月24日，Harmony官方跨链桥Horizon遭到攻击，造成约1亿美元的资金损失。Harmony创始人Stephen Tse承认，攻击很可能是由于"私钥泄露"导致。被盗资产涉及多种代币，包括BUSD、USDC、ETH和WBTC等。

Harmony曾提议通过增发ONE代币在3年内补偿用户损失，但未能获得社区一致支持。目前，项目方正在重新制定赔偿方案。

Nomad：1.9亿美元损失，部分资金有望追回

2022年8月2日，Nomad跨链桥遭遇重大安全事故，导致1.9亿美元流动性迅速流失。事故还波及了另一个Layer2互操作性协议Connext，造成约334万美元的连带损失。

据专家分析，此次事故源于Nomad在一次合约升级中将可信根错误地初始化为0x00，使得任何人都能利用有效交易提取跨链桥资金。目前，部分白帽黑客已表示愿意归还资金，但项目方尚未给出明确的赔付方案。

总结

跨链桥安全事故的频发凸显了该领域的高风险性。即便是市场领先的跨链桥如Multichain、Wormhole和Poly Network也曾遭遇安全问题，这警示我们任何跨链桥都可能面临安全威胁。

值得注意的是，背景雄厚、资金实力强的跨链桥项目在遇到安全事故后，往往更有能力追回资产或为用户提供赔偿。例如Poly Network、Ronin Network和Wormhole在遭遇大规模资金盗窃后，都能够成功找回资金或进行全额赔付。

此外，团队的实时监控和快速响应能力也至关重要。像Hop Protocol和Stargate这样的项目，在收到可疑活动报告后能够迅速采取行动，成功阻止了潜在的攻击。这凸显了持续监控和快速反应在维护跨链桥安全中的重要性。