2026年DeFi跨鏈橋黑客潮：3.286億美元被盜

跨鏈橋（cross‑chain bridge）本來係DeFi世界入面最重要嘅基建之一，負責將資產由一條區塊鏈轉移到另一條。但到咗2026年初至5月中，安全研究機構統計顯示，黑客已經透過至少8宗跨鏈橋相關攻擊盜走約3.286億美元。

最令人震驚嘅係，接近九成損失其實來自單一事件——4月18日發生嘅KelpDAO跨鏈橋漏洞。呢宗案件亦成為2026年目前為止最大嘅DeFi黑客事件之一。

整體情況反映一個問題：跨鏈橋往往鎖住巨額資產，但驗證機制同營運基建卻相對脆弱。

KelpDAO–LayerZero：2.92億美元被盜

2026年4月18日，流動再質押協議KelpDAO嘅rsETH跨鏈橋遭攻擊者入侵，大約**116,500枚rsETH（約2.92億美元）**被盜。

調查顯示，問題並非單純智能合約漏洞，而係橋嘅驗證架構同鏈下基建被操控。

關鍵原因包括：

• 單一驗證者設定：KelpDAO採用1‑of‑1嘅Decentralized Verifier Network（DVN），即係只要一個驗證者就可以批准跨鏈訊息。
• RPC基建被入侵：攻擊者成功滲透驗證系統使用嘅RPC節點，並操控提供畀系統嘅區塊鏈資料。
• 偽造跨鏈訊息：被污染嘅資料令系統相信另一條鏈上嘅代幣已被銷毀，於是Ethereum合約自動釋放資產。

多個調查初步指出，攻擊可能與**北韓黑客組織Lazarus Group（TraderTraitor分支）**有關，但相關歸因仍屬初步分析，並未有正式法律確認。

THORChain：1080萬美元漏洞

另一宗重大事件發生於2026年5月15日。

跨鏈流動性協議THORChain遭攻擊，損失約1080萬美元資產，涉及Bitcoin、Ethereum同BNB Chain等多條網絡。

研究人員懷疑漏洞與THORChain使用嘅GG20門檻簽名（Threshold Signature）系統有關。

簡單講，呢種技術會將私鑰拆成多份碎片，由多個節點共同簽署交易。但分析指出：

• 一個惡意節點可能喺多次合法簽名過程中
• 慢慢收集到足夠嘅加密碎片
• 最終重組控制金庫（Asgard vault）嘅完整私鑰

一旦私鑰被重建，攻擊者就可以簽署看似合法但實際未經授權嘅提款交易。

Verus–Ethereum橋：1158萬美元漏洞

2026年5月18日，Verus Protocol嘅跨鏈橋亦被攻擊者利用漏洞盜走約1158萬美元。

黑客從橋嘅儲備資產中提走：

• 103.6 tBTC
• 1,625 ETH
• 約147,000 USDC

之後全部兌換為ETH。

安全研究指出，問題來自驗證邏輯出現漏洞：

• 橋兩端其實都有做交易驗證
• 但冇任何一端強制檢查來源鏈嘅轉帳金額

結果攻擊者可以提交一個看似有效嘅跨鏈訊息，但來源鏈實際價值幾乎為零，最終成功從橋嘅儲備池釋放資產。

點解跨鏈橋經常成為黑客目標？

2026年連串事件再次印證區塊鏈安全界長期嘅警告：跨鏈橋往往係DeFi最危險嘅環節。

幾個結構性問題反覆出現。

1. 驗證權力過度集中

好多橋只依賴少數驗證者、relay節點或簽名者確認跨鏈訊息。一旦其中一個被入侵，就可能批准假交易，就好似KelpDAO事件。

2. 私鑰與簽名系統風險

跨鏈橋通常用多重簽名或門檻簽名控制巨額資產。如果黑客能取得足夠嘅私鑰碎片或控制節點，就可以生成合法簽名提走資產。THORChain事件正反映呢種風險。

3. 跨鏈訊息驗證不足

橋必須確認一條鏈上嘅事件真實發生，先可以喺另一條鏈釋放資產。只要驗證邏輯有漏洞，例如Verus未檢查來源金額，就可能被偽造證明欺騙。

4. 鏈下基建成為攻擊面

跨鏈系統依賴大量鏈下基建，包括RPC節點、監控系統、relay服務同營運工具。只要黑客入侵呢啲系統，就可以污染驗證資料，例如KelpDAO事件。

對DeFi生態意味住咩？

跨鏈橋一旦失守，影響通常唔止單一協議。

可能出現連鎖反應：

• 包裝資產（wrapped assets）失去資產支持
• 以呢啲資產作抵押嘅借貸市場被迫凍結
• 跨鏈流動性同交易路徑中斷

由於跨鏈橋本質上係集中存放大量資產嘅節點，一個漏洞就可以影響多條區塊鏈同多個DeFi協議。

2026年初嘅黑客潮顯示，問題並唔只係單一程式錯誤，而係架構層面嘅系統性風險。除非未來橋設計能夠提升驗證去中心化程度、強化訊息驗證機制，同加強營運安全，否則跨鏈橋仍然會係加密世界最吸引黑客嘅目標之一。