7小時內31.6億蒸發：幣圈橋接器接連失守，駭客正在狩獵你的資產

七小時，兩起攻擊，三十億人間蒸發

老實說，如果你最近有把資產跨鏈移動，聽到這個訊息應該會心頭一緊。七月某個尋常的週三，幣圈上演了一齣比好萊塢還誇張的劇本——七小時內，兩個完全不相關的橋接器接連被駭，總損失超過3100萬美元。

第一個倒下的，是執行在Arbitrum上的去中心化永續合約交易所AFX，直接被搬走2415萬美元。幾小時後，Verus以太坊橋接器也遭毒手，又是750萬美元人間蒸發。整個過程不到一天，金額大到讓人懷疑人生。

如果你以為這只是單純的智慧合約漏洞，那可能要重新思考了。這次的攻擊手法，跟以往不太一樣。

不是合約爛，是人的問題

區塊鏈安全公司Blockaid的調查結果出爐後，不少業內人士傻眼——AFX的攻擊並非智慧合約本身有bug，而是熱錢包的驗證鑰匙被入侵。簡單來說，駭客不是打破金庫的門，而是直接複製了守衛的鑰匙，大搖大擺把錢搬走。

Blockaid執行長Ido Ben-Natan說得更直接：「這看起來是營運安全的問題，而不是智慧合約的漏洞。未經授權的提款帶有真正的驗證者簽名，意味著橋接器的鏈上驗證機制運作完全正常——只是被自己人背叛了。」

調查顯示，總共有五個熱錢包驗證鑰匙被 compromise。駭客滿足了所需的驗證者 quorum（法定人數），用真實簽名完成交易，橋接器的設計完全沒問題——問題出在人類的營運環節。

Verus橋：舊傷口再次被撕開

如果你以為這只是單一事件，那Verus的下場會讓你更不安。這次的攻擊手法，跟今年五月如出一轍——當時Verus已經因為類似手法丟了1158萬美元。

Blockaid分析指出，駭客利用了橋接器的「匯入路徑」（bridge import path），觸發了沒有足額擔保的以太坊側支付。翻成白話：駭客用一個假的入口，大搖大擺領走根本不存在的資產。

同一條橋，同一個破口，只是這次換了一個新錢包地址來犯案。熟悉的劇情，熟悉的下場，只是這次的受害者口袋更深，損失更慘。

橋接器為什麼變成肥羊？

「又一座橋，又一次漏洞。在安全性升級之前，橋接器永遠會是最弱的一環。」區塊鏈安全研究者TheCrypticWolf在X上如此感嘆。

這句話點出了殘酷的事實：橋接器之所以成為駭客的首選目標，不是沒有原因。

• 資金池龐大：橋接器累積了來自不同鏈的流動性，一出事就是大筆金額
• 跨鏈複雜度：要同時處理多條鏈的驗證邏輯，任何一個環節出錯都可能致命
• 熱錢包依賴：為了方便操作，很多橋接器使用熱錢包當驗證節點——這等於把金庫鑰匙放在每天都會用的電腦裡
• 人為因素：這次AFX的案例證明，只要一把鑰匙被偷，整個系統就會被瓦解

幣圈常說「Not your keys, not your crypto」，但現在看來，就算你保管了自己的私鑰，橋接器的營運方也可能因為自己的疏忽，讓你的資產瞬間消失。

我們能從這次事件學到什麼？

如果你是DeFi的長期玩家，或許該重新思考自己的資產配置策略。沒有人想成為下一個被駭的倒楣鬼，但問題是——下次攻擊何時會來？

首先，分散風險永遠是第一原則。不要把所有資產放在同一條鏈的同一個橋接器上，哪怕它看起來再安全都不例外。

其次，關注橋接器的驗證機制。這次AFX的教訓很清楚：只要是依賴少數熱錢包驗證者的橋接器，都存在單點故障的風險。未來在選擇跨鏈方案時，多看一眼它們的安全架構，是基本功。

最後，別把幣圈當成完全免信任的樂園。技術或許沒問題，但人類的營運環節永遠是最大的破口。這次被入侵的不是智慧合約，而是——人。

FAQ 常見問題

這次AFX被駭，損失多少錢？

根據區塊鏈安全公司Blockaid的報告，AFX在Arbitrum上的跨鏈橋接器被駭，損失約2415萬美元。

橋接器被駭的原因是什麼？

這次不是智慧合約的漏洞，而是熱錢包驗證鑰匙被入侵。駭客取得了五個驗證者的私鑰，用真實簽名完成未經授權的提款。

Verus橋接器之前也被駭過嗎？

是的，今年五月Verus以太坊橋就因為類似手法損失1158萬美元。這次的攻擊使用相同的路徑，只是換了不同的駭客錢包地址。

投資人該如何保護自己的資產？

建議分散配置資產，不要集中在同一條鏈或同一個橋接器。選擇橋接器時，注意其驗證機制是否採用多重簽名或MPC等更安全的方案。

橋接器為什麼這麼容易被攻擊？

橋接器通常持有大量資產，且涉及跨鏈驗證的複雜邏輯，加上很多橋接器依賴熱錢包驗證，只要營運方的安全措施有漏洞，就可能被駭客利用。