• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

SlowMist报告称,因五份涉嫌伪造的提交记录,Ankr损失304,500美元

2026-11-10 00:05:15
收藏

SlowMist报告:Ankr跨链桥因伪造提交损失约30.45万美元

区块链安全公司SlowMist于2026年11月9日发布分析报告,指出Ankr跨链桥遭受攻击,导致约304,500美元资产被盗。攻击者提交了五张伪造的提款凭证,这些凭证均带有该桥接协议自身可信共识签名者的有效签名。这一数字超过了此前安全公司Blockaid估计的292,000美元,SlowMist后续的分析纳入了更完整的价格数据。两方估算之间的差距凸显了漏洞发生数小时后,事后统计数据的快速变动性。

损失详情与时间线

SlowMist于协调世界时(UTC)约09:14发布调查结果,确认以太坊上的Ankr跨链桥为目标。这五张伪造的凭证均追溯至一笔单一且合法的Optimism交易。该原始交易涉及在2026年11月3日存入的0.0044024803 ankrETH,且在攻击发生前六天已被赎回。

SlowMist将接收地址标识为攻击者地址,并报告从这笔已回收、已赎回的交易中提取的总价值约为304,500美元。根据CoinInsider对此次攻击的拆解,通过五次提款流失的资产包括:约82.91个ankrETH、515,206个Polygon质押代币、798万个ANKR代币、5,372.25个aPOLb以及0.8196个aETHb。所有五次提款均指向同一个接收地址。

整个攻击过程发生在协调世界时08:09:35至08:11:59之间,持续时间约为2分24秒。直到协调世界时09:51:47,即第一次未经授权的资金提取清除后约100分钟,桥接协议的提款功能才被暂停。

伪造提交的机制分析

SlowMist指控五张伪造的跨链凭证通过了桥接协议的签名验证。据SlowMist称,每张凭证都带有看似有效的共识签名者签名,这使得桥接协议的withdraw()函数能够在未独立确认底层Optimism交易实际发生的情况下释放资产。

根据SlowMist的发现,桥接协议的重放保护仅阻止完全相同的证明提交。SlowMist指出,由于修改后的凭证内容(包括接收地址、代币类型和金额)生成了五个不同的证明哈希值,因此成功绕过了重复提交防护机制,正如TechFlowPost所报道的那样。

此类攻击并非新出现的类别。这种“信任共识签名者签名而不验证源链事件”的设计缺陷曾在其他跨链桥事故中出现。SlowMist此前曾记录过类似的签名漏洞,包括其在FlashLoopAdapter漏洞分析中提到的导致两个Safe钱包资金被盗的案例,以及关于Liquid Network漏洞的报告,后者铸造了3,998枚L-BTC。

对Ankr用户及安全团队的影响

截至SlowMist发布报告时,未经授权签名的来源仍在调查中。桥接协议的共识签名者密钥是否遭到外部入侵,或者签名是否来自其他渠道,尚未得到确认。SlowMist将此标记为悬而未决的问题,而Ankr在报道时也未发布官方事后调查报告。

根据CoinGecko的数据,在攻击发生时,ANKR代币的交易价格为0.003942美元,市值约为3,942万美元,24小时交易量约为640万美元。当日该代币涨幅温和,为1.05%,但该数据未能反映市场对事件的全面消化情况。当天加密货币市场整体处于恐惧区间,恐惧与贪婪指数为29/100。到协调世界时上午中段,Ankr事件已引起多家媒体的关注。

Ankr尚未确认恢复计划。随着桥接提款功能暂停且签名来源仍在调查中,该项目面临的核心问题是:这是外部密钥泄露、内部人员作案还是其他原因?答案将决定用户是否能够信任重启后的桥接服务,目前SlowMist的调查似乎仍在进行中。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%