Ankr 跨链桥被攻破，约 30.36 万美元资产被转出
TREE NEWS 报道， Ankr 以太坊跨链桥遭到攻击，攻击者通过 5 笔提款转出 5 种代币。其中 3 种资产按 Etherscan 显示价格估算价值约 30.36 万美元，另两种代币因没有报价未计入。这一事件再次将跨链桥安全问题推至聚光灯下，而跨链桥历来是 DeFi 领域损失最为集中的环节之一。
攻击路径解析
链上记录显示，这 5 笔提款均引用了 11 月 3 日在 Optimism 上的一笔小额存款，而该笔存款此前已在以太坊上完成提款。新的提款调用使用了修改后的收据数据，指向不同收款地址和更大金额。提款通过了桥合约的授权检查，但无法确定攻击者如何获得被接受的授权。这种“重放合法交易并篡改收据数据”的模式，指向跨链状态验证环节的缺陷，而非私钥泄露。
行业影响
此次事件凸显了跨链桥设计中的持续弱点，尤其是在收据证明验证和跨链消息重放处理方面。桥合约的授权检查在数据被修改的情况下仍然通过，令人质疑合约是否验证了提款的完整上下文，还是仅检查了表面参数。跨链桥因集中大量流动性且依赖复杂的验证逻辑，一直是攻击者的首选目标。
- 验证缺口：修改后的收据数据通过授权检查，表明存款与提款记录之间缺乏足够的绑定。
- 重放风险：复用此前存款的引用，凸显了健壮的 nonce 与状态追踪机制的必要性。
- 审计局限：即便是经过审计的跨链桥，也可能存在仅在对抗条件下才会暴露的逻辑缺陷。
前瞻
Ankr 事件预计将加剧对跨链桥架构的审视，并推动更严格验证标准的采用，包括零知识证明和轻客户端验证。对用户而言，这一事件提醒人们，跨链资产承载的智能合约风险往往被低估。随着行业成熟，无法证明自身具备健壮、经过实战检验的安全性的跨链桥，可能难以吸引流动性，保险与审计机构也将面临提高标准的压力。按历史标准衡量，此次损失金额不大，但真正值得行业警惕的是攻击机制，而非金额本身。
