駭客利用 Hyperbridge 跨鏈橋漏洞，憑空鑄造 10 億枚 DOT 代幣，面額價值雖達 11.9 億美元，卻因市場流動性嚴重不足，最終僅套現約 23.7 萬美元。
加密貨幣攻擊事件層出不窮，但像這樣「冒大險、賺小錢」的案例還真不多見。今（13）日稍早，有駭客利用 Hyperbridge 跨鏈橋的漏洞，在以太坊上憑空鑄造了 10 億枚 Polkadot（DOT）代幣，名義價值高達 11.9 億美元。然而當他試圖將這些代幣出售時，卻因流動性嚴重不足，最終只換得約 23.7 萬美元的以太幣。
需要釐清的是，駭客攻擊的目標是「跨鏈橋智能合約」，因此 Polkadot 主網上的原生 DOT 代幣並未受到波及。這次漏洞主因 Hyperbridge 的 EthereumHost 合約在將跨鏈訊息傳遞給 TokenGateway 之前，未能正確驗證訊息的真實性。
圖源：X/@OnchainLens
跨鏈橋一直是區塊鏈架構中最脆弱的環節，因為它們握有代幣合約的管理權限，一旦驗證機制出現破口，駭客就能輕易取得無限鑄造代幣的權力。
鏈上追蹤顯示，駭客透過 dispatchIncoming 提交了一則偽造的訊息，並成功將其導向 TokenGateway.onAccept 。原本系統應該根據 Polkadot 鏈上的狀態核對這則訊息的真實性，但驗證機制卻將承諾值記錄為「全零」，這意味著驗證程序完全被繞過或根本不存在，於是系統誤將這則假訊息視為合法指令。
被接受的訊息隨即執行對橋接 Polkadot 代幣合約的 changeAdmin 功能，將管理員權限轉移給攻擊者的地址。取得管理權後，攻擊者在單筆交易中鑄造了 10 億枚 DOT 代幣，並透過 Odos Router V3 將這些代幣倒入 Uniswap V4 的 DOT-ETH 交易池，以略微不同的價格進行多次兌換後，最終提取約 108.2 枚以太幣。
在金融市場中，「流動性不足」通常是巨鯨大戶最頭痛的問題，但諷刺的是，這次流動性不足反而成了無形的防護罩，大幅限縮了駭客的獲利空間。
由於以太坊上的 DOT 流動性深度極為有限，根本無法消化這 10 億枚憑空多出來的代幣，當駭客急著拋售套現時，嚴重滑價導致每枚代幣的實際價格連 1 美分都不到。
若是在一個流動性更深、或價值更高的橋接資產上，同樣的漏洞恐怕將造成數十倍的損失。截至寫稿時，DOT 交易價格約為 1.17 美元，過去 24 小時下跌 5% 。
這起事件再次說明：即便駭客掌握「無限鑄幣權」，最終能否成功套利，仍取決於市場流動性與交易深度。知名區塊鏈資安機構 CertiK 隨後證實了這起攻擊事件，並表示駭客藉由鑄造與拋售橋接代幣，獲利約 23.7 萬美元。
截至目前為止，Hyperbridge 官方尚未針對駭客事件發表公開評論。
圖源：X/@CertiKAlert
26.86萬 熱度
431.05萬 熱度
123.51萬 熱度
391.12萬 熱度
50.19萬 熱度
幣圈最瞎劫案？駭客鑄造10億鎂DOT幣，但只偷到23萬鎂
駭客利用 Hyperbridge 跨鏈橋漏洞，憑空鑄造 10 億枚 DOT 代幣，面額價值雖達 11.9 億美元，卻因市場流動性嚴重不足，最終僅套現約 23.7 萬美元。
加密貨幣攻擊事件層出不窮，但像這樣「冒大險、賺小錢」的案例還真不多見。今（13）日稍早，有駭客利用 Hyperbridge 跨鏈橋的漏洞，在以太坊上憑空鑄造了 10 億枚 Polkadot（DOT）代幣，名義價值高達 11.9 億美元。然而當他試圖將這些代幣出售時，卻因流動性嚴重不足，最終只換得約 23.7 萬美元的以太幣。
需要釐清的是，駭客攻擊的目標是「跨鏈橋智能合約」，因此 Polkadot 主網上的原生 DOT 代幣並未受到波及。這次漏洞主因 Hyperbridge 的 EthereumHost 合約在將跨鏈訊息傳遞給 TokenGateway 之前，未能正確驗證訊息的真實性。
圖源：X/@OnchainLens
跨鏈橋一直是區塊鏈架構中最脆弱的環節，因為它們握有代幣合約的管理權限，一旦驗證機制出現破口，駭客就能輕易取得無限鑄造代幣的權力。
攻擊手法：偽造訊息、奪取管理權、無限鑄幣
鏈上追蹤顯示，駭客透過 dispatchIncoming 提交了一則偽造的訊息，並成功將其導向 TokenGateway.onAccept 。原本系統應該根據 Polkadot 鏈上的狀態核對這則訊息的真實性，但驗證機制卻將承諾值記錄為「全零」，這意味著驗證程序完全被繞過或根本不存在，於是系統誤將這則假訊息視為合法指令。
被接受的訊息隨即執行對橋接 Polkadot 代幣合約的 changeAdmin 功能，將管理員權限轉移給攻擊者的地址。取得管理權後，攻擊者在單筆交易中鑄造了 10 億枚 DOT 代幣，並透過 Odos Router V3 將這些代幣倒入 Uniswap V4 的 DOT-ETH 交易池，以略微不同的價格進行多次兌換後，最終提取約 108.2 枚以太幣。
「流動性不足」反成防護罩
在金融市場中，「流動性不足」通常是巨鯨大戶最頭痛的問題，但諷刺的是，這次流動性不足反而成了無形的防護罩，大幅限縮了駭客的獲利空間。
由於以太坊上的 DOT 流動性深度極為有限，根本無法消化這 10 億枚憑空多出來的代幣，當駭客急著拋售套現時，嚴重滑價導致每枚代幣的實際價格連 1 美分都不到。
若是在一個流動性更深、或價值更高的橋接資產上，同樣的漏洞恐怕將造成數十倍的損失。截至寫稿時，DOT 交易價格約為 1.17 美元，過去 24 小時下跌 5% 。
這起事件再次說明：即便駭客掌握「無限鑄幣權」，最終能否成功套利，仍取決於市場流動性與交易深度。知名區塊鏈資安機構 CertiK 隨後證實了這起攻擊事件，並表示駭客藉由鑄造與拋售橋接代幣，獲利約 23.7 萬美元。
截至目前為止，Hyperbridge 官方尚未針對駭客事件發表公開評論。
圖源：X/@CertiKAlert