以太坊橋接連出事！31.7億瞬間蒸發 三個協議暴露不同資安弱點

老實說，如果你最近在玩DeFi，看到「橋接」這兩個字可能會心頭一驚。沒錯，就在7月22日短短幾個小時內，兩個以太坊橋接協議接連出包，合計損失超過3100萬美元（約新臺幣101億元）。第三個協議雖然沒被搶，但也被迫暫停質押服務。

七分鐘內蒸發2400萬美元：AFX橋事件

第一個爆掉的，是叫做AFX的去中心化交易協議。根據區塊鏈安全公司Blockaid的偵測，攻擊發生在UTC時間7月22日晚上9點30分左右。透過一筆Arbitrum鏈上的交易，攻擊者一口氣轉走了2415萬顆USDC。

這筆錢怎麼被偷走的？AFX在7月24日公佈的初步調查結果顯示，攻擊者使用了「協作式社交工程」（coordinated social engineering）加上「基礎設施滲透」的組合技。聽起來很專業對吧？簡單講就是：他們先從開發環境下手，然後一路摸進內部建構系統和驗證者（validator）系統，等於是從後門大搖大擺走進去。

好訊息是AFX說這次事件和他們的交易基礎設施、主網以及Arbitrum原生物橋無關，純粹是他們用的第三方橋接服務被盯上。壞訊息是，目前還沒有看到任何資金回歸或補償方案的正式公告。

Verus橋：驗證失效讓駭客「無本提款」

就在AFX事件發生後的幾小時內，第二個受害者出現了——Verus-Ethereum橋。

區塊鏈分析公司SlowMist後續發現，Verus橋在處理提款時，批准了高達8筆提款，但完全沒有驗證對應的資產是否真的存在。等於是攻擊者拿了一張沒有存款的支票去銀行兌現，銀行還真的給了錢。

具體來說，一筆以太坊交易顯示，Verus橋釋放了1137.45顆ETH，還有7筆代幣轉帳。Blockaid估算，這些「無本提款」總價值約754萬美元（約新臺幣2.4億元）。

有趣的是，SlowMist把這次攻擊和今年5月的某個跨鏈漏洞事件歸類為同一類——「跨鏈匯入驗證失敗」（cross-chain import-validation class）。但他們也強調，這兩次攻擊的技術手法並不相同。

B² Network：質押合約被「走後門」

第三個案例比較特別。B² Network沒有被盜，但他們自己發現了一個恐怖的安全漏洞：有不肖人士取得了質押合約的「升級許可權」（upgrade authority）。

什麼意思？簡單講，升級許可權就像是你家門的萬用鑰匙，誰拿到誰就可以隨時修改合約內容、甚至把錢轉走。B²官方趕緊跳出來說，他們已經暫停正常的質押服務，正在進行資安檢視。雖然官方沒有公佈具體損失金額，但這種「被拿到升級許可權」的情況，簡直比被盜還要可怕。

不過B²有提供一個「手動退出」方案：使用者可以透過官方Discord申請解除質押，經過身份驗證後，會在一個營業日內處理。直到現在（7月24日為止），他們也還沒公佈是否完成任何賠償。

三起事件，三種不同的資安破口

看完這三個案例，你有沒有發現一個規律？它們出事的點都不一樣：

• AFX：問題出在「託管橋」的基礎設施和驗證者系統，被社交工程滲透
• Verus：問題出在「橋的帳務檢查」機制，沒有驗證資產是否真的被質押
• B²：問題出在「質押合約的升級許可權」，許可權被未經授權的第三方取得

這說明什麼？區塊鏈的安全性不只是「共識機制」或「智慧合約程式碼」那麼簡單。任何一個環節——從開發環境、內部系統、驗證邏輯到合約許可權——都可能成為破口。

身為DeFi使用者，你該怎麼辦？

老實說，看到這種新聞，第一個反應一定是大罵「DeFi太危險了」。但與其全部怪給協議方，有些自保措施是我們自己能做的：

1. 別把雞蛋放在同一個籃子裡：就算某個橋出事了，你可能還有其他資產在其他協議
2. 關注官方訊息：這次B²有提供Discord手動退出選項，如果你有質押他們的代幣，看到訊息就要趕快行動
3. 看清楚你在用的是什麼橋：AFX特別強調他們用的是「第三方橋」，不是Arbitrum原生的橋。選協議時，這種細節很重要
4. 別把所有錢都放進DeFi：這句話講到爛了，但每次出事都還是有人忘記

接下來會怎樣？

現在所有目光都放在三件事上：第一，AFX能不能把錢找回來或提出補償方案？第二，跨鏈橋的驗證機制會不會因此全面升級？第三，這些協議的「升級許可權」會不會被徹底改革，讓我們不再需要靠「手動審核」來補破網？

說到底，區塊鏈的魅力就是「不需要信任任何中心化機構」，但代價是——我們每個人都必須為自己的資產安全負起更大的責任。

FAQ 常見問題

什麼是以太坊橋（Ethereum Bridge）？

以太坊橋是一種跨鏈技術，讓你可以在不同區塊鏈之間轉移資產。比如把USDC從Arbitrum轉到以太坊主網，就需要用到橋接服務。

這次攻擊是因為以太坊本身有漏洞嗎？

不是。這三個案例出事的都是「橋接協議」或「質押服務」，不是以太坊區塊鏈本身的共識層。問題出在這些協議的智慧合約設計、驗證邏輯或許可權管理上。

如果我在這些協議有資產，該怎麼辦？

立即檢視官方公告。AFX和B²都有提供官方管道（網站或Discord）讓使用者查詢餘額或申請處理。這種時刻，千萬別亂點來路不明的連結。

DeFi還能繼續用嗎？

DeFi本身技術沒有錯，但每次漏洞都會逼著整個產業進步。選擇有審計歷史、社群口碑良好、並且有應急機制的協議，風險會低很多。