资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Axelar-Secret 桥接攻击是如何发生的？
一名攻击者利用 Secret Network 上 Axelar 桥接合约的漏洞，盗走了约 467 万美元。该漏洞出现在一个经过修改的桥接合约中，该合约负责处理从 Axelar 到 Secret Network 的资产转移。攻击针对的是 Secret Network 上一个经过修改的 CW20-ICS20 合约。该合约原本用于在代币通过桥接转移时，铸造 Axelar 封装资产的 Secret 封装版本（即 saTokens）。然而，该合约未能正确验证传入传输所来自的通道。这一验证缺失使攻击者能够伪造存款，并在没有任何实际资产支撑的情况下铸造出 Secret 封装代币。攻击者利用一条单验证器的 Cosmos 链，向该桥接合约开启了一个 IBC 通道，并转发了携带与合约白名单中代币面额相匹配的伪造数据包。由于合约无法将这些面额与通过 Axelar 合法通道传入的传输区分开来，它便根据虚假存款铸造了 saTokens。随后，攻击者通过真实的 Axelar 通道兑付这些余额，并从托管账户中提取了实际代币。此次攻击影响了七种 Secret 封装代币：saUSDT、saUSDC、saDAI、saWETH、saWBTC、saWBNB 和 sawstETH。该漏洞自 2023 年初合约首次部署时便已存在，并在 3 月 5 日为更新功能而进行的迁移后依然未被修复。
为什么攻击在七天后才被发现？
6 月 10 日的攻击直到 6 月 17 日才被发现，当时一笔正常的跨链转账失败，原因是 Axelar 的托管账户中已无足够资产来完成该交易。调查人员随后将失踪的抵押品追溯到一周前的七笔提款。这一延迟凸显了加密网络面临的特定风险。Secret Network 上的余额默认是加密的，因此缺失的抵押品并不像公开的以太坊系统中流动性池被抽干那样显而易见。这降低了通过常规链上监控进行快速检测的可能性。Secret Network 表示，该桥接合约已从托管模型调整为铸造模型以适配 Axelar 集成，而在此调整过程中，两个本应验证传输来源的函数被移除。该团队还表示，Axelar 在集成过程中并未要求进行外部审计。Secret Network 认为，在桥接资产被大量盗取之前，没有任何有效的监控、异常检测或紧急暂停机制能够阻止这些异常转账。Axelar 则反驳了任何将责任归咎于其核心协议的观点，称 Axelar 和 IBC 均未被攻破，且被利用的代币智能合约并非由 Axelar 开发、部署或维护。
投资者启示
此次攻击表明，跨链风险可能存在于核心桥接协议之外。一个经过修改的代币合约、薄弱的通道验证以及有限的监控，足以将一个局部的集成缺陷演变为数百万美元的资产损失。
被盗资金后来怎么样了？
攻击发生后，攻击者将盗取的资产转移至 Axelar，通过自动数据包转发经 Osmosis 路由，然后桥接至以太坊。大部分资产通过 CoW Protocol 兑换为以太币，随后被分拆成约 30 笔转账，转入新钱包，并发送至 KuCoin、ChangeNow 和 HitBTC 的充值地址。Axelar 的紧急委员会在发现问题后禁用了 Secret 及 Secret-SNIP 连接。跨链路由器 Squid 也从其前端移除了 Secret Network。Axelar 表示其核心协议未受影响，且没有其他链、通道或托管账户被触及。Secret Network 称，在其论坛发帖时，约 77 万美元的被盗资金仍留在攻击者的 Axelar 钱包中，并请求 Axelar 冻结这些资产或与社区合作进行冻结。Secret 表示 Axelar 决定不执行这一请求。后续钱包数据显示，约 67.2 万美元仍留在攻击者的 Axelar 钱包中，包括 WBTC、USDC、WBNB 和 AXL。Axelar 表示正在与交易所和执法部门协调，但未提供恢复受影响连接的时间表。这使得用户和协议面临不确定性，包括资金追回、桥接重新开放以及未来的合约迁移。
投资者启示
对于投资者而言，主要问题不仅在于损失金额的大小，更在于追回过程。关于冻结剩余资产的争议表明，在技术故障得到控制后，跨链事件可能演变为治理与协调问题。
这对跨链基础设施为何重要？
Secret Network 事件加剧了 2026 年一系列跨链攻击的态势。4 月，一名攻击者从 KelpDAO 基于 LayerZero 的桥接中盗走了约 2.92 亿美元的 rsETH，该事件在追回努力控制损失前影响了 DeFi 的流动性。最新这起攻击的金额较小，但引发了关于桥接架构、集成审查和运营监控的类似问题。跨链系统如今守护着巨大的价值，以至于合约层面的假设可能演变为市场层面的风险。当桥接合约在没有严格来源验证的情况下铸造封装资产时，损失可能迅速从技术漏洞转变为实际资产损失。该事件还表明，加密网络需要不同的监控假设。隐私保护设计可以保护用户，但也可能使抵押品短缺更难被发现，直到提现失败。这对试图同时兼顾隐私、跨链流动性和机构级风险控制的协议构成了更严峻的权衡。对于 Axelar 而言，应对之策取决于将其核心协议与出现故障的自定义合约区分开来。对于 Secret Network 而言，优先事项是恢复对集成流程的信心，并证明未来的桥接合约具备更强的验证、监控、审计和紧急控制机制。DeFi 领域从中得到的更广泛启示是清晰的：桥接安全性不再仅仅取决于底层消息协议是否正常工作。投资者、交易所和协议也在关注合约修改、部署历史、审计范围、暂停机制，以及团队在隐藏的抵押品缺口暴露时的响应速度。
