10亿枚DOT凭空铸造，但黑客只赚了23万美元

作者：周，ChainCatcher

北京时间四月13日上午10点，某链上监测平台发布了警报：以太坊网络上出现了来自Polkadot的跨链桥接资产异常发行。
根据CertiK的分析，攻击者通过Hyperbridge的ISMP协议，向以太坊侧的HandlerV1合约提交了一份精心构造的跨链请求，并附上了一份历史上曾被接受的真实MMR证明，从而成功绕过了验证机制。

BlockSec Phalcon 随后发布了一份技术警报，将该漏洞归类为 MMR 证明重放漏洞。根据他们的分析，该漏洞的根源在于HandlerV1合约的回放保护机制仅会验证特定请求的哈希值是否曾被使用过，但验证过程并未将提交的请求负载与已认证的证明进行绑定。

这一逻辑漏洞使攻击者能够重放一个历史有效的证明，并将其与新构造的恶意请求配对，从而通过 TokenGateway.onAccept() 路径执行 ChangeAssetAdmin 操作，将以太坊上包装版 DOT 合约（地址：0x8d...8F90b8) 到攻击者控制的地址。

根据链上数据显示，攻击者在获得铸造权限后，铸造了10亿枚跨链桥/桥接DOT，这大约是当时该代币在以太坊上报告的流通供应量（约35.6万枚）的2805倍。

随后，攻击者通过Odos Router和Uniswap V4流动性池将所有代币兑换成约108.2 ETH，并将其转入攻击者的外部账户。按当时的价格计算，此次攻击获利约23.7万美元，而整个攻击过程仅消耗了约0.74美元的燃料费。

BlockSec Phalcon 还提到，此前曾发生过一起利用相同手法的攻击事件，目标是 MANTA 和 CERE 代币，导致约 12,000 美元的损失。这两起袭击造成的总损失约为24.2万美元。

事件发生后，韩国两大主流交易所Upbit和Bithumb宣布暂停DOT及AssetHub Polkadot网络的充值和提现服务，以防范潜在的虚假充值风险。

Polkadot官方表示，该漏洞仅影响通过Hyperbridge桥接至以太坊的DOT，不会影响Polkadot生态系统内的DOT资产，也不会影响通过其他跨链桥转出的DOT。Polkadot及其平行链，以及原生代币DOT，依然安全且未受影响。目前，Hyperbridge 已暂停运营以调查此事。

值得一提的是，尽管铸造规模达到了10亿，但实际损失远低于理论数字。由于以太坊上包装版DOT的链上流动性极其有限，10亿枚代币的集中抛售导致包装版DOT的价格瞬间从1.22美元暴跌至0.00012831美元，跌幅达99.98%，致使大部分代币无法用于强制平仓。

根据CoinMarketCap的数据，受市场情绪影响，原生代币DOT的价格也一度下跌近5%。

X平台上的用户坦率地表示，谁能想到这款曾与以太坊齐名的跨链神话DOT，竟会在社交媒体上引发如此大的轰动。跨链桥再次成为加密货币世界的“阿喀琉斯之踵”，从曾经被忽视的领域变成了满目疮痍的战场。当10亿枚DOT凭空出现时，所有技术指标都变得毫无价值。

一些用户开玩笑说，正是流动性不足这次保存了Polkadot，使得实际损失控制在23.7万美元左右。

然而，桥接资产的流动性不足，虽然限制了黑客的获利空间，但也暴露了跨链互操作性层的潜在漏洞。

据报道，由Polytope Labs开发的Hyperbridge是Polkadot生态系统中的一个跨链互操作性项目，该项目长期以来一直依赖加密证明而非多签名委员会作为其核心安全机制，并定位为一种信任最小化的跨链基础设施。该项目此前曾强调其能够抵御常见的跨链桥/桥接攻击。

但这一事件可能表明，仅靠加密证明机制的完整性尚不足以确保安全性；以太坊侧Gateway合约的具体实现逻辑同样构成了攻击面。

从更宏观的角度来看，这一事件反映了自2026年以来DeFi领域持续严峻的安全形势。今年发生了多起重大攻击事件，包括Venus因价格操纵导致215万美元坏账、Resolve超铸造8000万USR，以及Drift遭黑客攻击损失逾2.85亿美元资产，这些攻击手段各异，受影响范围广泛。

接管铸造权以实现无限发行，并非一种新的攻击模式。然而，由于Hyperbridge的流动性极度匮乏，损失意外地被降到了最低。

据CertiK数据显示，仅三月就记录了46起安全事件，总损失约为3980万美元，创下自十一月以来的最高月度纪录。CertiK 还指出，代码漏洞被利用的频率有所增加，这可能与人工智能辅助的漏洞发现工具日益普及有关。

攻击频率的上升也促使行业重新审视安全与监管的边界。Circle首席战略官丹特·迪斯帕特（Dante Disparte）此前针对Drift Protocol盗窃事件呼吁，协议、钱包、交易所及稳定币发行方应将安全与问责视为共同责任。他建议，DeFi协议可借鉴传统市场的熔断机制，开发链上技术防护措施，并推动相关立法，在下一重大事件发生前，将财产权和金融隐私保护标准纳入法律。