资安公司 Blockaid 示警 WAX 多链跨链桥正遭攻击，攻击者 5 笔交易从 Solana 与以太坊端领走约 52,986 USDC、21,558 USDT 等资产。 Blockaid 称合约程式码尚未变更，WAX 官方截至发稿未回应。 （前情提要：Symbiosis 跨链桥被搬 33 万镁！ 骇客拒退，白帽奖金转线报赏） （背景补充：9 月加密骇案狂飙 7. 66 亿镁！ Bitget、Liquid Network 双案占九成） 区块链资安公司 Blockaid 于台北时间 10 月 22 日晚间 8 时 33 分在 X 发布警报，指 NFT 与游戏公链 WAX 的多链跨链桥正遭攻击。 攻击者在 WAX 端未实际支付代币，却让 Solana 与以太坊端照常放款。 依 Blockaid 统计，5 笔交易共流出约 52,986 USDC、21,558 USDT、840 DAI、2. 55 枚 WETH 与 0. 11 枚 WBTC。 光稳定币部分合计就约 7. 5 万美元，整体规模不算大，但事件仍在进行中。 Blockaid 是为 Coinbase、MetaMask 等业者提供即时诈骗与攻击侦测的资安公司，此次攻击即由其侦测并对外示警。 WAX 端记帐出错，另两条链「照单放款」 跨链桥的运作逻辑，是在来源链锁定或扣除资产，再于目标链释出对应的「映射代币」（跨链对应资产）。 Blockaid 指出，问题出在 WAX 端代币合约的提领检查，让攻击者几乎不用付出成本，跨链桥却仍记录为一笔完整提领。 Blockaid 在后续串文中强调，Solana 与以太坊端的放款流程本身是「诚实」执行的。 换言之，两条链只是依照 WAX 端的错误纪录放行，漏洞并不在 Solana 或以太坊。 从 Blockaid 公布的时间轴来看，攻击者先在 WAX 端完成提领操作，约 15 至 20 分钟后，Solana 端便放出对应的 USDC，以太坊端随后也释出其余资产。 整个流程在一小时内完成。 程式码未变更，漏洞仍可被利用 更令人担忧的是，Blockaid 在攻击流程说明中表示，相关程式码尚未修改，漏洞「仍处于可利用状态」。 这代表跨链桥另一端的剩余流动性，在修补前仍有风险。
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。