WAX 跨鏈橋被攻擊:5 筆交易轉走約 7.5 萬美元,漏洞披露時仍未修補
$WAXP 結論先擺在前面:這是典型的"源鏈說謊、目標鏈照單執行"型跨鏈橋攻擊,損失不大,但漏洞結構值得記下來。
1. 時間線。攻擊者 09:06(UTC)在 WAX 上新建賬號 fasdfas.al;09:46 取走 52,986.50 枚映射版 USDC;09:47 以同樣方式取走映射版 USDT、DAI、WETH、WBTC。10:00(UTC)Solana 端按指令放出 52,986.50 USDC;10:05(UTC)以太坊端放出對應資產。
2. 金額構成。5 筆交易共計 52,986 USDC、21,558 USDT、840 DAI、2.55 WETH、0.11 WBTC。Blockaid 最初估計約 7.5 萬美元;TokenPost 10 月 23 日的更新估計約爲 9 萬美元。
3. 根因。問題不在接收端。Blockaid 的分析是:Solana 與以太坊側的合約是按收到的信息"正確"執行的,出錯的是 WAX 側的賬本申報——攻擊者在 WAX 側未支付對應資產,橋卻判定爲合法提款。WAX 側賬本與實際庫存的差額約爲 1,522 美元。
4. 當前狀態。Blockaid 披露時將該事件定性爲 ongoing exploit;10 月 23 日早間的跟蹤報道稱漏洞仍未修補,損失範圍可能繼續擴大。
我的看法:跨鏈橋的攻擊面往往不在目標鏈的驗證邏輯,而在源鏈申報環節的可信度。持倉橋資產的用戶在修復公告出來之前,只能被動等待。
#WAX #跨鏈橋安全
僅個人看法,不構成投資建議