加密协议 CrossCurve 遭受 3M 美元漏洞攻击

加密协议 CrossCurve 透露，其跨链桥遭到入侵，导致在多个区块链网络上损失约 300 万美元。 

此次攻击引发了人们对跨链基础设施的新安全担忧，黑客在加密行业反复针对此类基础设施。CrossCurve 在周日晚间披露了此次攻击， X上的一篇帖子，表示其桥接服务“正遭受攻击”，且其智能合约中的漏洞被利用。 

该协议警告用户立即暂停与 CrossCurve 的所有交互，同时团队正在调查事件经过。此次漏洞影响了多个网络，展示了弱点对跨链系统的影响。Defimon Alerts（隶属于区块链安全公司 Decurity 的 X 账号）提供了关于漏洞的详细信息。据 Defimon Alerts 称，攻击者入侵了 CrossCurve 的一个智能合约并窃取了约 300 万美元。 

报告还称，CrossCurve 的合同未正确验证跨链消息。这使得任何方都能够 伪造，或伪装成真实消息。因此，攻击者得以绕过传统的验证机制并未经授权解锁代币。更具体地说，Defimon Alerts 提到，任何人都可以调用 ReceiverAxelar 合约中名为 expressExecute 的函数。 

该函数利用虚假的跨链消息，通过调用它并绕过网关检查，在 PortalV2 合约上解锁代币。它信任该消息，即使原始链上没有进行交易，资金也被释放。CrossCurve 未对这些操作提出质疑，并正在调查受影响的合约。 

该协议尚未确认所有用户是否会获得损失赔偿。 在 在X 上，Curve 建议将投票权授予 CrossCurve 池的用户审查其头寸，并考虑撤回投票。它还建议所有投资者保持警惕，在与第三方项目交互时做出基于风险的决定。

CrossCurve 提供 10% 的赏金以追回被盗代币

为了尝试追回 被盗资金，CrossCurve 的首席执行官 Boris Povar 公开联系了涉嫌通过漏洞接收代币的地址。Povar 分享了与被盗资产相关的 10 个区块链地址，并要求归还资金，他说。 

Povar 在其帖子中表示，这些代币是“因智能合约漏洞而被错误地从用户处取走的”。他说，没有明确证据表明此次攻击是故意或恶意的。Povar 要求合作归还资金，并表示如果在 72 小时内归还代币，将提供高达 10% 的赏金。 

Povar 补充说，如果未联系或资金未在规定时间内归还，CrossCurve 将把此事视为刑事案件。他表示，该协议已准备好与执法部门协调，提起民事诉讼以追回损失，并与其他加密企业和当局合作冻结与漏洞相关的资产。 

此类赏金报价，也称为“白帽”奖励，在加密行业已变得普遍。在某些情况下，攻击者为了赏金而归还了资金，而在其他情况下，资金未能追回。

跨链漏洞继续困扰加密行业

CrossCurve 事件是最新一起针对 跨链桥 和去中心化金融协议的攻击。 在过去 几年里，数十亿美元因桥接漏洞而蒸发。著名案例包括造成数亿美元损失的 Ronin Bridge 黑客攻击，以及对 Wormhole 和 Nomad 平台的攻击。 

其中许多问题是由于消息验证失败造成的，就像 CrossCurve 案例一样。安全分析师长期以来一直警告，跨链桥是加密领域中最严重的风险之一。验证逻辑中的微小错误可能导致代币被铸造或解锁并在没有抵押的情况下使用，从而在短时间内造成巨大损失。 

日益增多的问题迫使监管机构、投资者和程序员呼吁加强安全措施，包括更严格的审计、更简单的设计、更清晰的审计轨迹和监控工具。但是，正如 CrossCurve 的经历所示，漏洞仍然存在，用户被提醒在与去中心化协议交互时仍面临重大风险。