跨鏈橋24小時內接連被駭慘失3550萬美元—AFX Trade、Verus-Ethereum、B² Network齊中招

大約2415萬USDC被盜，攻擊者即時將佢哋兌換成大約12,467.4個ETH。到咗7月25日，攻擊者開始透過THORChain將ETH兌換成BTC。喺第一筆已知交易入面，655.4個ETH被兌換成18.86個BTC。鏈上分析師EmberCN指出，呢個係持續嘅洗錢活動，並話大部分被盜嘅貨幣仍然留喺駭客嘅錢包入面。

AFX Trade提出咗一個720萬美元嘅賞金——如果攻擊者歸還70%（大約1690萬美元），就可以保留30%嘅被盜資金。Offchain Labs嘅聯合創辦人Steven Goldfeder證實，呢次攻擊係針對第三方嘅橋，而唔係Arbitrum嘅原生基建。

Verus-Ethereum橋——損失754萬美元（7月23日）

Verus-Ethereum橋喺7月23日被盜，攻擊者透過偽造跨鏈匯入嚟提款——呢個同2026年5月嗰次損失1158萬美元嘅攻擊所用嘅合約同匯入路徑一模一樣。Blockaid確認，攻擊者重複使用咗條橋嘅匯入路徑，嚟觸發冇對應資產支持嘅以太坊端支付。

大約754萬美元嘅資產被盜，包括以太幣（ETH）、代幣化比特幣（tBTC），以及多種穩定幣如USDC、USDT、EURC、MKR同scrvUSD。攻擊者將呢批贓物兌換成大約3,916.1個ETH，之後部分資金被轉移到Tornado Cash。

呢次係Verus橋喺大約兩個月內第二次重大安全漏洞，令人嚴重質疑根本原因係咪真係完全修復咗。Blockaid指出，7月嘅交易嚟自一個同5月攻擊唔同嘅駭客同唔同嘅錢包，即係話呢個漏洞係可以被獨立利用嘅。

B² Network——損失386萬美元（7月23日）

B² Network，一個比特幣擴容方案，損失咗大約859.1萬個B2代幣（價值約386萬美元），原因係攻擊者未經授權存取咗佢哋喺BNB Chain上面嘅代幣質押合約嘅升級權限。呢個係一個管理權限嘅漏洞，而唔係傳統嘅鏈上漏洞。

攻擊者將呢批B2代幣賣出，換嚟5,409個WBNB（大約311萬美元），然後橋接到以太坊，據報資金正透過NEAR Intents轉移到Zcash。鏈上分析師指出，負責盜取嘅錢包自2025年起就已經被授予所需嘅特權角色——呢個權限係喺未經授權嘅轉帳發生之後先至被撤銷，暗示可能有內部憑證洩漏。

B² Network暫停咗質押服務，並向攻擊者提供法律豁免，條件係歸還部分資金，據報曾經討論過歸還10%嘅方案。協議話會全額賠償受影響嘅用戶。

損失一覽

三宗攻擊揭示嘅問題

離線密鑰管理仍然係最弱嘅一環。 AFX嘅漏洞唔係協議程式碼嘅錯誤，而係密鑰保管嘅失敗——五個熱錢包驗證器簽署密鑰被入侵，用嚟達到橋嘅法定門檻。保安公司Blockaid指出，鏈上邏輯完全按照設計運作。

重複出現嘅漏洞冇被徹底修復。 Verus橋喺兩個月內兩次被同一種匯入路徑嘅手法攻擊，顯示5月嘅修復唔完整，或者條橋嘅底層架構本身就存在根本缺陷。

管理升級權限係一個單點故障。 B² Network嘅攻擊顯示，特權角色（合約升級密鑰）可以同私鑰一樣危險，一旦被入侵，攻擊者可以喺唔需要利用任何智能合約邏輯漏洞嘅情況下，直接清空成個代幣供應。

洗錢基建已經發展成熟。 AFX攻擊者喺幾分鐘內就將被盜嘅USDC轉換成ETH，然後喺7月25日開始透過THORChain將ETH兌換成BTC，顯示跨鏈原子交換同去中心化交易所已經成為掩飾橋漏洞贓款嘅標準路徑。B² Network攻擊者亦都透過NEAR Intents將資金轉移到Zcash。