资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
攻击者利用漏洞合约空手套白狼，从Secret Network桥接中窃取约467万美元
一名攻击者从与Axelar（AXL）关联的Secret（SCRT）桥接中盗取了约467万美元，其手段是利用了一个存在缺陷的合约，凭空铸造了无资产支撑的代币。
关键要点：
Secret Network的一个有漏洞合约让攻击者得以铸造无资产支撑的代币，窃取了约467万美元。
这笔盗窃案在七天内未被发现，直到一笔失败的转账暴露了资金池已被掏空。
Axelar已禁用受影响的连接，并表示其核心协议从未被触及。
Secret Network桥接损失数百万美元
这起盗窃案始于6月10日，但整整七天内无人察觉，因为Secret默认会对余额进行加密，丢失的抵押品从未在链上显示。直到6月17日，一笔常规跨链转账因托管账户资金枯竭而失败，问题才浮出水面。调查人员随后将资金缺口追溯到事发当天发生的七笔可疑提现。
Axelar于6月19日确认了损失，并在数小时内禁用了受影响的Secret和Secret-SNIP连接，同时强调其核心协议从未受到波及。团队表示已联系交易所和执法部门追踪资金去向，其中约67.2万美元仍原封不动地留在攻击者的主钱包中。
“无限铸造”漏洞欺骗了合约
存在漏洞的合约会铸造桥接资产的Secret封装版本，但从未验证存款实际来自哪个通道，仅凭代币名称与已批准列表进行比对。
研究机构Common Prefix发布了一份事后分析报告，详细说明了这一单一漏洞如何导致问题。由于网络默认隐藏转账信息，追踪攻击者比在完全透明的公共账本上要困难得多。
为了利用该漏洞，攻击者启动了一条只有一个验证节点的链，开设了一个未授权通道，并自行中继了携带直接从允许列表中提取的代币名称的伪造数据包。合约接受了这些数据包，并铸造了真实可赎回的代币，但背后没有任何资产支撑。随后，通过合法通道赎回这些伪造代币，导致七种封装资产的托管资金被掏空。该漏洞并非新出现，该机构报告称，同样的逻辑自2023年起就存在于代码中，并在2026年3月的迁移中得以保留。Secret补充说，在最初搭建桥接时并未要求进行外部审计。
跨链桥依然暴露在风险中
被盗资金经过Osmosis转移，在去中心化交易所兑换成以太坊（ETH），再分散到数十个新钱包中，最终流入了三家中心化交易所。市场整体反应平淡，Axelar的代币当日下跌约2.2%，Secret则基本持平。
尽管如此，这起损失仍是跨链基础设施又一个惨淡年份的一部分。建立在类似锁定-铸造设计上的桥接仍是加密货币领域最易被利用的攻击面，2026年整个行业因类似漏洞损失超过3.4亿美元。其中包括Resolv的2500万美元入侵、Verus的1100万美元损失以及IoTeX的400万美元失窃。
