一周内两起与 Cardano 相关的黑客事件——为什么“链本身没事”并不代表全部

本周,围绕 Cardano 区块链构建的项目接连出现两起独立的安全事故。它们合在一起,向新手揭示了一个令人不安的事实:区块链本身可以照常运转,而人们仍然会在它周边的服务上损失资金。其中一起,攻击者从一座跨链桥中盗走了约 5.15 亿枚 NIGHT 代币;另一起,一家名为 SecondFi 的钱包服务商表示,在约 260 万美元的 ADA 被盗后将关闭。

规模更大的那起事故涉及一座“跨链桥”(bridge)。跨链桥是一种让代币从一条区块链转移到另一条区块链的工具——在这里,是让 NIGHT 代币在 Cardano 和 BNB Chain 之间流转。7 月 20 日,攻击者从支撑这座桥、由第三方 Wanchain 运营的 Cardano 一侧储备中转走了约 5.15 亿枚 NIGHT。安全公司 BlockSec 表示,初步分析指向一个漏洞,可能让一个旧的、原本有效的签名被重复用于新的交易数据,但强调调查仍是初步的。NIGHT 一度下跌超过 30%,创下历史新低。

值得注意的是,Midnight 基金会表示,其自身的协议、验证者和核心网络并未受到影响,Cardano 上的 NIGHT 合约也照常运行。换句话说,链没事,出事的是桥。Cardano 创始人查尔斯·霍斯金森(Charles Hoskinson)说得很直接:“在加密货币领域,跨链桥是所有攻击中最脆弱的一环。”多年来,攻击者已从各类跨链桥中盗走超过 20 亿美元,因为一座桥必须在两条独立的网络之间协调信任——而这道接缝,往往正是最容易出问题的地方。

第二起事故是钱包漏洞。SecondFi 表示,由于其钱包软件中的一个密码学缺陷,攻击者盗走了约 1610 万枚 ADA(约 260 万美元),波及 374 个钱包。据报道,一项外部调查发现了可能与朝鲜 Lazarus 黑客组织有关的迹象,但尚未得到证实。该公司目前正在关闭业务,并表示恢复工具仍在开发中,尚未宣布任何直接赔偿方案。

桥的这起事故也有一点小小的安慰:包括币安(Binance)、Kraken、OKX 在内的主要交易所出手冻结并拉黑了与盗窃相关的钱包,压缩了攻击者套现的空间。这种协同响应能在事后减少损失,但终究比不上资金一开始就没被盗走。

这里的教训不是“Cardano 不安全”,而是:在加密世界里,风险最高的往往不是区块链本身,而是搭在它上面的一层层额外的东西——跨链桥、第三方钱包以及其他服务。作为新手,在通过跨链桥转移代币、或把大额资金托付给一个较新的钱包之前,要格外小心。先问清楚:是谁在运营它?有没有经过审计?如果这一环出了问题,你承受得起这笔损失吗?