一个连接 Alephium (ALPH) 网络与 Ethereum (ETH) 及 BNB Chain 的跨链桥，在大约七分钟内损失了约 81.5 万美元，原因是攻击者向其后端强行注入伪造消息。
关键要点：
- 攻击者在约七分钟内，从 Alephium 的 TokenBridge 上的两条链共抽走约 81.5 万美元。
- 他们铸造了 1376 万枚没有抵押支持的封装 ALPH，超过桥此前全部封装供应量。
- Alephium 将此归咎于链下后端缺陷，而非守护者密钥被盗，并承诺偿付受影响用户。
Alephium TokenBridge 被快速掏空
安全公司 Blockaid 首先在 5 月 30 日发现了此次攻击，志愿应急团队 SEAL 911 随即参与调查。攻击者在 Ethereum 和 BNB Chain 上的 TokenBridge 中推送伪造的转账批准，掏空储备并铸造新代币。
整个过程仅持续约七分钟。
在 Ethereum 上，攻击者盗走了 200,967 枚 Tether (USDT)、17,594 枚 USD Coin (USDC)，以及少量 Wrapped Ether 和 Wrapped Bitcoin；而在 BNB Chain 一侧，则被盗走 36,750 枚 USDT 和 24.386 枚 Wrapped BNB。同一钱包还铸造了 1376 万枚并未锁定真实 ALPH 作为抵押的封装 ALPH。
这批代币的规模超过桥此前全部封装供应量，让攻击者手中握有“凭空变出的”代币。
延伸阅读： Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
链下缺陷，而非密钥被盗
最初的说法将此次漏洞归因于四个守护者密钥中有三个被攻破，但 Alephium 随后表示，真正原因是桥接后端中的链下漏洞，Blockaid 也修正了最初的判断。该项目运行的是 Wormhole 消息系统的私有分支，仅有四个签名者，因此相同缺陷可能潜伏在基于类似代码构建的其他跨链桥中。
原因的改变重新界定了整起事件的性质。
Alephium 承诺偿付用户
Alephium 已暂停该跨链桥，敦促持币者从 ALPH 流动性池撤出资金，并承诺为仍锁定在桥中的用户提供资产恢复路径。随着桥被下线，攻击者无法再将这些无抵押封装 ALPH 通过桥赎回，而被盗资金在披露时仍停留在同一钱包中未被转移。团队表示正在权衡各种方案，尽力让受影响用户得到完全赔付，并将在本周公布完整的事件复盘报告。
此次漏洞进一步加剧了跨链桥所面临的严峻形势——这些基础设施负责在不同区块链之间转移资产。
近期，Verus-Ethereum 跨链桥被攻击，损失约 1158 万美元，而本次采用的伪造消息手法也让人联想到 Wormhole 数年前超过 3.2 亿美元的损失。有统计指出，今年 5 月整个行业被盗加密资产已逾 5200 万美元。
下篇阅读： ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800