WAX 跨链桥被攻击:5 笔交易转走约 7.5 万美元,漏洞披露时仍未修补
$WAXP 结论先摆在前面:这是典型的"源链说谎、目标链照单执行"型跨链桥攻击,损失不大,但漏洞结构值得记下来。
1. 时间线。攻击者 09:06(UTC)在 WAX 上新建账号 fasdfas.al;09:46 取走 52,986.50 枚映射版 USDC;09:47 以同样方式取走映射版 USDT、DAI、WETH、WBTC。10:00(UTC)Solana 端按指令放出 52,986.50 USDC;10:05(UTC)以太坊端放出对应资产。
2. 金额构成。5 笔交易共计 52,986 USDC、21,558 USDT、840 DAI、2.55 WETH、0.11 WBTC。Blockaid 最初估计约 7.5 万美元;TokenPost 10 月 23 日的更新估计约为 9 万美元。
3. 根因。问题不在接收端。Blockaid 的分析是:Solana 与以太坊侧的合约是按收到的信息"正确"执行的,出错的是 WAX 侧的账本申报——攻击者在 WAX 侧未支付对应资产,桥却判定为合法提款。WAX 侧账本与实际库存的差额约为 1,522 美元。
4. 当前状态。Blockaid 披露时将该事件定性为 ongoing exploit;10 月 23 日早间的跟踪报道称漏洞仍未修补,损失范围可能继续扩大。
我的看法:跨链桥的攻击面往往不在目标链的验证逻辑,而在源链申报环节的可信度。持仓桥资产的用户在修复公告出来之前,只能被动等待。
#WAX #跨链桥安全
仅个人看法,不构成投资建议