Taiko跨链桥遭攻击：泄露的GitHub密钥导致170万美元被盗，四步重启计划公布

攻击是如何实施的

此次攻击的根源是一个RSA私钥——即Raiko SGX飞地签名密钥——意外暴露在GitHub上。该密钥被Raiko证明者（prover）用于对正确的区块验证证明进行加密签名。这个名为enclave-key.pem的密钥文件已在taikoxyz/raiko代码仓库中公开存在了大约两年之久。攻击者利用这个泄露的密钥，注册了恶意证明者，并伪造了Taiko跨链桥的提款证明。具体来说，他们精心伪造了一条消息证明，该证明在以太坊主网（L1）上被接受，而源链（Taiko L2）上并未生成相应的事件，从而允许攻击者从ERC-20保险库中提取资产。此次攻击最初由安全公司BlockSec检测发现，其确认了泄露的Raiko签名密钥是根本原因。被盗资产主要为USDC和ETH。

四步重启计划

在独立安全审查确认攻击路径已被关闭后，Taiko制定了分阶段的重启方案：

第一步——恢复链上活动。 在部署安全补丁后，让Taiko L2网络重新上线并恢复正常出块。

第二步——确保桥接资产100%抵押。 在重新开放桥接之前，团队将全额补充所有抵押不足的桥接资产，确保用户余额获得1:1的完全支持。

第三步——全面重启L2活动。 在完成补丁修复的基础设施上，允许正常的L2交易恢复运行。

第四步——在保守配额下重启桥接提款。 桥接提款功能将逐步恢复，并设置初始提款配额，以确保初期阶段的安全性。

用户资金保护与资产补充

Taiko明确表示，“此事件不会导致任何用户资金损失”。攻击事件导致跨链桥暂时处于抵押不足的状态。Taiko承诺在重新开放桥接之前，将全额补充缺失的抵押品，确保所有用户的余额都能得到1:1的足额支持。目前，团队正与Taiko DAO委员会和安全委员会合作协调恢复工作。此外，作为协作流程的一部分，Taiko已向新加坡当局提交了正式报告。

法律行动与防钓鱼诈骗提醒

Taiko正与其安全委员会及生态系统合作伙伴密切合作进行调查，并已协调中心化交易所暂停TAIKO代币的充值作为预防措施。团队敦促用户立即从所有部署在Taiko网络上的跨链桥中撤出资金，并警告称，在事件期间，这些桥背后的安全假设已不再可信。Taiko还公开提醒社区警惕在大型安全事件后频发的钓鱼诈骗和冒名顶替行为，建议用户只相信Taiko官方社交媒体渠道发布的信息。该项目正在与执法部门和安全合作伙伴合作，通过法律和调查途径追踪并可能追回被盗资金，但具体案件细节尚未公开披露。