数小时内加密“跨链桥”被盗3500万美元——一文看懂最脆弱的环节

在大约六个小时内，攻击者从至少三个加密跨链桥和跨链工具中盗走超过3500万美元——包括Arbitrum上的AFX Trade（约2400万美元）、Verus以太坊桥（约750万美元），以及比特币扩容网络B²（约390万美元）。它们没有一个是被“破解密码学”攻破的，每一起都是丢失了对某个密钥或某项权限的控制。

先说什么是跨链桥。桥的作用，是让资产在两条本来无法直接对话的区块链之间流动：它在一条链上锁住真实的代币，再在另一条链上发行对应的“凭证”。因此它的安全，完全取决于能否准确核验——每一笔提款，背后都有另一条链上真正锁定的资产在支撑。一旦这个核验被骗过，或者授权提款的密钥落入坏人手中，桥就可能凭空放出真金白银。

以AFX为例。安全公司称，攻击者控制了桥的验证者签名密钥，凑齐了五个签名、达到放行门槛，合约于是“照章办事”地放款2400万美元的USDC；被盗资金随后被转到以太坊，换成约12,467枚ETH。Arbitrum联合创始人强调，其原生桥并未被攻破，出事的是运行在其上的第三方协议——这是一次被隔离的局部失守。事后AFX甚至公开向攻击者喊话：归还70%，剩下30%可当作“白帽赏金”。

Verus则是同一个漏洞今年第二次被利用。5月它曾被盗约1158万美元，攻击者归还资金后，Verus于7月8日把追回的钱重新存回同一个桥，两周后再度被掏空——其锁仓价值已从2025年初的近1亿美元，跌到如今约900万美元，信任的流失肉眼可见。B²这边，则是攻击者夺取了质押合约的“升级权限”，等于拿到了改写规则的钥匙。

对新手来说，今年的规律很清楚：偷钱的手法很少去攻破底层数学，而是盯上它周围的密钥与管理权限。2026年至今，DeFi已因各类攻击损失超过8.4亿美元。跨链桥集中了大量资金，是反复出事的薄弱点——不要把资产长期停放在桥或跨链产品里，也要明白：“区块链本身没被黑”并不等于你的钱是安全的。