今天的安全消息是一条接一条。早上刚聊过 Avalanche 上一个金库被闪电贷薅走约 101 万美元，11 点那条又说了治理夺权的事，到了中午，第三条来了：zkLink 在以太坊上的跨链桥被攻了。

据 Blockaid 的监测，攻击者用一个公开的中继器，往以太坊上塞了一个伪造的批次根，接着就把 zkLink Nova 的 L1 托管合约里的提款给敲定了，钱转到了攻击者指定的地址。PANews、KuCoin、BBX 今天上午先后报了这件事，口径一致：截至报道时，被提走的金额约 78.6 万美元，来自 L1 的 $ETH 托管和 ERC20 桥两边，攻击在报道时还在进行。

这个手法听着绕，拆开看就一句话：桥本来要等一批交易被确认了才放行，攻击者伪造了那张放行单，系统就信了。攻击者走的是桥自己的提款流程，只不过那张放行单是假的。这也是跨链桥最让人头疼的地方，钱锁在一个合约里，一旦验真环节被绕过去，提款就是按流程走完的。

78.6 万美元跟动不动上亿的桥案比不算大，但别只看金额。今天报出来的安全事件已经三起，金库、治理、跨链桥，出的都是协议自己的问题。用户防钓鱼、防假链接都做了，该丢的还是丢，这才是最气人的地方。

我自己的做法是：桥只过路，不过夜。非要跨链，跨完就走，不把桥当钱包。你平时跨链用得多吗，还是压根不碰桥？