跨链桥$3.26亿资产被盗

2022-03-01, 04:26

摘要

流行加密货币平台Wormhole发现了在以太坊和Solana区块链之间的链桥中发生的重大漏洞利用，这是近年来报道的最令人震惊的黑客事件之一。Wormhole通过Twitter正式确认了黑客行为，称其团队正在调查“潜在”漏洞利用，此时该链桥处于离线状态，而链上分析师将人们的注意力转移到了黑客从Wormhole上转移80,000 ETH的交易到一个地址，该地址在以太坊上持有超过2.5亿美元的产，黑客将另外盗取的40,000ETH存储在了Solana生态系统中，用于买卖其它资产。

这一漏洞利用意味着任何连接到Solana的以太坊区块链都可能没有获得支持，从而可能危及投资者的资金和整个以太坊生态系统，这让多个DeFi社区提高了警惕。在接受CoinDesk采访时，基于DeFi平台Step Finance的Solana生态系统创始人George Harrap预料，若Jump Capital无法介入以支持被盗的ETH，那么许多接受ETH作为抵押品的基于Solana的平台现在可能会“部分资不抵债”。除了这个日益严重的困境之外，雪上加霜的是，Harrap还承认非常紧迫形式可能出现，即如果没有人支持被黑的以太坊，那么这些代币将“真正消失”，而ETH最终将“价值为零”，从而影响每个Eth持有者、以及DeFi 协议和用户。

填写表单即可领取5点卡→

Wormhole究竟经历了什么？

2月2日，黑客从Wormhole网络盗取120,000个打包的以太坊代币，事件发生时被盗资产的估值约3.26亿美元。黑客利用了以太坊区块链之间的链桥，从而导致对用户资金的巨大破坏性利用。

两个网络之间的链桥是由精心布局的智能合约基础设施构建的，可促进不同区块链之间的互操作性和交易，因此跨链桥用户在将钱包与Web应用程序连接以协助发起交易后，能在两个不同的区块链之间进行资金交易。在原始区块链上确认交易后，加密资产在目标区块链上发布并转移到用户钱包，在Wormhole网络中，这意味着用户可以发送ETH并接收SOL作为交换。

由于漏洞利用十分顺畅，Wormhole暂时关闭了其网站，页面显示“维护中”字样，期间他们的团队积极调查了潜在的“漏洞利用”，后来经一系列加密分析师整合，报告了两笔非常可疑的交易。区块链数据显示，漏洞利用者找到了一种利用网络的方法，铸造了120,000个打包的以太坊代币，并将10,000个ETH桥接到以太坊区块链。22分钟后，黑客再次发起攻击，在以太坊区块链上的一笔巨额交易中扣押了80,000ETH，这表明攻击者将部分被盗的以太坊代币分配到了不同的以太坊钱包。

从Wormhole网的角度来看，新铸造的打包以太坊币以普通打包以太币代币的形式出现，这导致他们将ETH释放到那些储存不明来历打包以太坊币的以太坊钱包中，这从根本上使开发者得以泄露Wormhole网本身的储备资产。

Wormhole是如何解决这一问题的？

Wormhole正式确认黑客攻击，并在推特上向数千名受惊恐的投资者和利益相关者确认了这一漏洞，并强调“漏洞已被修补”，然而，这一链桥在很长一段时间内仍处于关闭状态。Solana 和以太坊网络之间链桥持续关闭，可能是由于打包以太坊基本上没有受到支持，若不加进一步干预，这可能会使Wormhole网上的以太坊变得毫无价值。

为了更清楚地说明事件发生的原因，并尝试恢复以太坊，Wormhole网向漏洞利用者发起了一笔交易，并附上一张纸条，提出以1000万美元作为“漏洞赏金”换取全部被盗资产。

然而，若黑客选择携带最近盗取3.26亿美元逃离，则需要立即实施干预措施，以防止分别对以太坊和Solana区块链产生进一步的影响。如果Wormhole发行的ETH无法桥接到以太坊主链，Solana借贷市场和类似协议可能会陷入险境——从而使它们变得毫无价值。

然而，基于DeFi 平台Step Finance的Solana生态系统创始人George Harrap透露，他预计Jump Capital可能会进行干预，支持受黑客入侵的ETH。Jump Capital在2021年夏天收购了Wormhole开发商Certus One。但如果干预未能纠正本次漏洞利用造成的巨大后果，那么像Wormhole这样的跨链桥可能支撑不了多久。

针对此事件，Vitalik Buterin在推特上表示，他希望未来建立在“多链”生态系统而不是“跨链”之上，因为希望“跨多个主权区域”的链桥的安全性存在固有的基本限制。Buterin截图自己的Reddit帖子，他提到了“在以太坊上持有以太坊原生资产或在 Solana上持有Solana原生资产比在Solana上持有以太坊原生资产或在以太坊上持有Solana原生资产”的安全性更高，因为跨链桥漏洞利用日益突出，并且跨链桥可以减少不同智能合约的支持并暴露其漏洞。

长期以来，跨链桥接技术一直因其安全限制而受到抨击，特别是最近黑客事件证明了其漏洞利用的弊端，这反过来可能会让更多的开发人员和分析师转向一个美好的前景，即研究开发一个安全性更高、更独立的多链桥系统。

作者：Gate.io研究员Matthew W-D；译者Cedar.W
*本文仅代表作者的观点，不构成任何投资建议。
*本文内容为原创，版权为Gate.io所有，如需转载请注明作者和出处，否则将追究法律责任。