Hyperbridge 将损失升级至 250 万美元，承认低估了 10 倍

Hyperbridge 在过去三天里向市场表示，其 4 月 13 日损失造成的损害是可控的。但在今天（4 月 16 日）的恢复更新中，它透露最初估算的损失为 237,000 美元，实际上约为 250 万美元。

这种接近 10 倍的重新计算将漏洞利用的严重性提升了好几个等级，加之这是一起多链事件，且看不到恢复时间表。此外，这还发生在 Hyperbridge 的愚人节玩笑之后，该玩笑声称其被 Lazarus 集团黑客攻击。

237,000美元是如何变成2.5百万美元的？

新闻来源上流传的 237,000 美元数字仅基于以太坊上可观察到的桥接 Polkadot (DOT) 代币的损失。事实证明，这只是攻击中最显眼的部分，而在 237,000 美元消失之前，攻击已经运行了近一个小时。

根据 Hyperbridge 的完整 恢复更新博客 文章，漏洞利用分为两个阶段。第一阶段是静默提取，在第二阶段开始之前，从相关的 TokenGateway 合约中转移了近 245 ETH。

一小时后，一条伪造的跨链消息绕过了 Hyperbridge 的 Merkle Mountain Range 证明验证逻辑，从而使黑客获得了桥接 DOT 代币合约的管理员控制权，并允许他们铸造约 10 亿个桥接 DOT 代币，随后这些代币被倾销到其他去中心化交易所。

经 BlockSec Phalcon 确认的攻击根本原因是 Hyperbridge 的 Handler V1 合约中 VerifyProof() 函数缺少边界检查，该合约编写于两年前。

最初的 237,000 美元数字也未计入在四个受影响的 EVM 链上运行的激励池的损失。

在 Hyperbridge 记录了以太坊、Base、BNB Chain 和 Arbitrum 上的所有攻击者活动后， 攻击的 两阶段结构以及相关的池损失将初始总额修订为约 250 万美元，按黑客攻击时的 ETH 和 DOT 价值计算。

一个在事后看来糟糕透顶的愚人节恶作剧

Hyperbridge 漏洞利用事件恰好发生在 Hyperbridge 发布愚人节玩笑的十二天后，该玩笑声称朝鲜 Lazarus 集团从该协议中窃取了 3700 万美元。该公告链接到一篇已删除的博客文章，解释了“为什么 HyperBridge 无法被黑客攻击”。

历史上，Hyperbridge将自己定位为提供跨链桥接全节点安全性的基于证明的互操作性层，而这正是 4 月 13 日黑客攻击用来入侵的机制。

在今天的更新中，Hyperbridge 团队直接回应了这一点，毫不退缩：“这次漏洞利用昂贵地表明，验证逻辑需要在堆栈的每一层进行更频繁的审计和对抗性测试。”

Hyperbridge 用户何时能期待赔偿？

Hyperbridge 现已确认，大部分被盗资金已在链上追踪至 Binance，但表示不会透露具体细节，以免损害正在进行的调查。

该协议还披露了如果恢复失败将发生的情况。如果受影响的用户无法通过其他渠道获得全额赔偿，Hyperbridge 承诺将结构化分配 BRIDGE 代币以弥补剩余损失。

发放时间表和估值细节将于 2027 年 4 月 13 日披露，即漏洞利用发生一周年后。

Token Gateway 操作将保持暂停，直到满足三个条件：漏洞已完全修补，补丁已通过独立审计并公开报告，以及额外的安全措施已投入运营。

Hyperbridge 的 Intent Gateway 及其上构建的产品不受漏洞利用影响，并继续正常运行。