CrossCurve 確認跨鏈橋於多個網路遭受攻擊

CrossCurve 已確認其跨鏈橋正遭受攻擊,原因是缺少驗證檢查,導致偽造的跨鏈訊息得以通過其系統。

該漏洞使攻擊者能夠直接從協議的 PortalV2 合約中提取資金,鏈上數據顯示損失約 300 萬美元,分散在多個區塊鏈網路中。

團隊公開承認此次漏洞利用,並敦促用戶立即暫停與平台的所有互動,同時緊急調查持續進行中。

CrossCurve 前身為 EYWA,是一個由 Curve 支持的互操作性項目,獲得 Curve 創始人 Michael Egorov 的支持,此前籌集了約 700 萬美元資金。

此次確認再次提醒人們,跨鏈橋仍然是 DeFi 基礎設施中最容易被攻擊和最脆弱的組件之一。

驗證漏洞讓偽造訊息竊取 PortalV2 資金

根據 CrossCurve 的初步技術調查結果,此次漏洞利用源於橋接器訊息驗證過程中缺少驗證檢查。

這個漏洞允許攻擊者製作欺詐性跨鏈指令,這些指令對協議而言看似合法,使未經授權的提款得以進行而不觸發內部保護措施。

一旦偽造訊息通過系統,攻擊者便系統性地竊取了 PortalV2 合約中多個連接網路持有的資產。

在過去兩年中,橋接器漏洞利用已成為加密貨幣領域的主要攻擊向量,主要是因為它們持有用於在鏈之間快速移動資產的集合流動性,造成了巨大的單點故障。

在 CrossCurve 的案例中,此次漏洞利用不需要直接破壞智能合約邏輯。相反,它濫用了協調跨生態系統資產移動的訊息層。

團隊已凍結被利用的橋接器,並啟動了全面的取證審查,以準確了解驗證機制是如何被繞過的。

駭客竊取 EYWA 代幣但無法變現

此次漏洞影響的最大資產之一是 EYWA,CrossCurve 的原生代幣。

攻擊者將 999,787,453.03 枚 EYWA 代幣提取到 Ethereum 網路,但團隊迅速澄清這些代幣實際上被困住了,無法出售或流通。

儘管 EYWA 最初在 Ethereum 上推出,但其全部流通供應量在代幣生成事件期間已遷移到 Arbitrum。

因此:

• Ethereum 上沒有 EYWA 的 DEX 流動性池

• 唯一支持 Ethereum 網路 EYWA 的中心化交易所已凍結存款

• 被利用的橋接器已被凍結以阻止進一步移動

實際上,被盜的 EYWA 代幣現在孤立地存放在 Ethereum 上,沒有退出、交易或影響流通供應量的途徑。

CrossCurve 強調,所有在 Arbitrum 上持有的 EYWA 仍然完全安全,用戶可以在去中心化和中心化交易所繼續正常交換和交易。

為了加強遏制,團隊還聯繫了主要交易平台,包括 KuCoin、Gate、MEXC、BingX 和 BitMart,以確保攻擊者沒有任何機會清算任何被盜代幣。

其他代幣成功從橋接器竊取

雖然漏洞利用的 EYWA 部分仍被中和,但駭客確實成功從橋接器基礎設施中提取了一系列其他資產。

被盜代幣數量包括:

3CRV, 2,578.22

USDT, 815,361

WETH, 123.59

CRV, 239,889.64

2CRV, 2,421.92

USDC, 34,820.73

WBTC, 2.64

USDB, 10,288.43

c(USD)CT, 4,199.24

frxUSD, 1,064.99

以市場價值計算,損失分為:

• 來自 CrossCurve 流動性池的 110,194.49 美元

• 來自 Units 區塊鏈的 1,331,697.82 美元

這使確認的總金額達到 1,441,892.31 美元,這些資產已被成功移除並仍在攻擊者控制之下。

雖然比最近一些橋接器漏洞利用規模較小,但此次漏洞對於一個不斷發展的互操作性協議來說仍然代表著重大安全事件。

交易所凍結存款 調查加強

CrossCurve 已積極採取行動,以限制漏洞利用可能造成的任何下游損害。

除了凍結受損的橋接器外,團隊還直接與中心化交易所協調,確保被盜資產無法通過交易平台存入、交換或洗錢。

這種快速反應大大降低了攻擊者實現利潤的能力,這種策略已越來越成為現代 DeFi 事件遏制的標準做法。

與此同時,CrossCurve 已啟動全面調查以確定:

• 確切的漏洞利用路徑

• 是否存在其他漏洞

• 如何永久加固驗證機制

• 需要哪些長期協議升級

團隊還發出了 72 小時期限,讓攻擊者就可能歸還被盜資金進行聯繫,這是 DeFi 事件中的常見做法,有時會導致部分或全部資金的恢復。

與此同時,區塊鏈取證追蹤正在積極映射相關錢包和交易流,以識別攻擊者更廣泛的網路。

跨鏈橋安全的又一警訊

CrossCurve 漏洞利用增加到了每年持續從加密生態系統中竊取數億美元的橋接器攻擊名單中。

雖然智能合約審計在整個 DeFi 領域已有所改善,但跨鏈訊息系統仍然複雜、分散且難以完全保護,通常涉及鏈外中繼器、驗證層和自定義驗證邏輯。

如本次事件所示,單個缺失的檢查可能在數秒內暴露大量集合流動性。

對於協議而言,這凸顯了以下緊迫需求:

• 橋接邏輯的形式驗證

• 冗餘驗證系統

• 大額跨鏈轉帳的時間延遲

• 持續的即時監控

• 分段流動性而非單一池

對於用戶而言,它強化了橋接器仍然是去中心化基礎設施中風險最高的組件之一,即使有經驗豐富的團隊和主要行業人物支持。

儘管 CrossCurve 迅速採取行動遏制損害並保護用戶資金,但此次漏洞利用凸顯了互操作層在即使存在小的實施缺陷時也可能多麼脆弱。

隨著跨鏈活動持續增長,驗證機制的安全性可能會成為 DeFi 下一次演進中最關鍵的戰場之一。

聲明:這不是交易或投資建議。在購買任何加密貨幣或投資任何服務之前,請務必進行自己的研究。

在 Twitter 上關注我們 @nulltxnews 以獲取最新的 Crypto、NFT、AI、Cybersecurity、Distributed Computing 和 Metaverse 新聞!