Ankr跨链桥遭攻击：伪造收据竟带有效签名
TREE NEWS 报道， 据慢雾监测，Ankr跨链桥遭遇攻击，造成约30.45万美元损失。攻击者引用同一笔合法的Optimism交易，提交了五份伪造的跨链收据，并修改了收款人、代币及提款金额。慢雾表示，这五份收据均带有跨链桥可信共识签名者的有效签名，而提款函数在未独立核对源链实际事件的情况下就释放了资产。未经授权的签名来源仍在调查中，尚未确认签名者是否遭到入侵。
攻击如何发生
此次攻击凸显了跨链桥设计中的一个关键弱点：依赖链下签名者来验证跨链消息，而缺乏链上验证。攻击者通过重复使用同一笔有效的Optimism交易哈希，生成了多份看似合法的欺诈性索赔，而桥的智能合约却盲目信任了这些签名收据，未能交叉核对源链状态。这使得攻击者能够以极小的代价盗取资金。
行业影响
由于复杂的信任假设和庞大的流动性池，跨链桥一直是攻击者的主要目标。Ankr事件强调了采用更强大的验证机制的必要性，例如轻客户端验证或零知识证明，以确保跨链消息对应真实的链上事件。这也引发了对密钥管理和签名者安全的质疑。如果签名者的私钥被泄露，可能表明存在更广泛的运营安全漏洞。即使不是，伪造收据能够被签名也暗示了签名过程或桥共识机制存在缺陷。
前瞻
随着调查的继续，该事件可能会加速更安全的桥架构的采用。项目可能会越来越多地转向模块化安全解决方案，例如共享安全网络或带有经济惩罚的去中心化验证者集。对于Ankr来说，恢复信任需要彻底的复盘，并可能需要重新设计其跨链验证流程。建议用户关注官方渠道的更新，并考虑桥接资产的相关风险。更广泛的DeFi生态系统必须从这次事件中吸取教训，优先考虑安全审计和实时监控，以防止类似攻击。
