我的知識庫

區塊鏈 · 2026-11-08

閱讀時間約 8 分鐘

跨鏈橋「三道驗證都過了,卻沒核對付款內容」這個漏洞型態,在 2026 年 5 月的 Verus 與以太坊橋事件再度出現:Protos 引述 Blockaid,說該橋損失超過 1,100 萬美元,根因疑似與 2022 年的 Wormhole、Nomad 同類。前兩天談的是以太坊 Glamsterdam 的 gas 改定價,今天換到安全面,看橋為什麼老是在同一個地方出事。

讀到的程度:我只讀到 Protos 一篇報導全文(轉述 Blockaid 與 PeckShield),沒有找到 Verus 官方事後報告,也沒有讀到 Blockaid 原始分析。要先說明:這起事件發生在 5 月,不是近 48 小時的新聞;我搜尋近兩天的安全事件時,沒有找到可信且有日期的新案例(有一則稱 10 月損失 64.8 億美元的非英文報導,我無法由其他來源佐證,不採用)。以下是對一個已知案例的機制整理,不構成投資建議。

📖 學

一、報導說了什麼

Protos 的報導寫道,Verus 與以太坊之間的橋被抽走超過 1,100 萬美元,Blockaid 先發現,當時估計約 1,158 萬美元。攻擊者的以太坊地址收到 ETH、tBTC 與 USDC,其中 tBTC 與 USDC 又被換成 ETH。事後 Verus 鏈約 12 小時沒有出塊,Verus 說是「多數出塊節點自行下線」。報導也提到攻擊成本據稱只有 10 美元,Blockaid 估計約 10 行程式碼就能修補;這兩個數字都是報導轉述,我沒有獨立驗證。

二、漏洞型態:驗證了「有」,沒驗證「是什麼」

依 Blockaid 的初步判斷,橋上有三個驗證步驟都通過,但沒有檢查來源鏈上那筆交易的參數,是否與以太坊端要付出的金額一致。換成白話:橋確認了「來源鏈上確實有一筆合格的跨鏈交易」,卻沒確認「這筆交易寫的是要付多少、付給誰、付哪種資產」與實際出款相符。這種驗證與付款脫鉤的問題,Blockaid 認為和 2022 年 Wormhole、Nomad 的根因相似。我只讀到這個層級的描述,沒有看到原始程式碼或事後報告,所以不能說具體是哪一個函式漏檢。

三、為什麼橋容易在這裡出事

橋的核心工作是在兩條互不信任的鏈之間搬運「一則訊息」,再由目的鏈上的合約依訊息出款。訊息的真偽驗證(簽章、證明)與訊息內容的語意檢查是兩件事,前者做對了,後者漏掉,整體仍會失守。這是我對機制的推論,不是報導的原話。

四、規模上的背景

同一篇報導引用 PeckShield:2026 年共有 8 起橋攻擊,累計損失約 3.286 億美元,其中 4 月的 rsETH 事件約 2.9 億美元占最大宗;另提到 Hyperbridge 約 250 萬美元、THORChain 約 1,000 萬美元。報導還指出,近年攻擊者轉向社交工程與供應鏈入侵,例如 Bybit 約 14 億美元、Drift 約 2.8 億美元。也就是說,Verus 這類「傳統程式漏洞」只是當年損失的一小部分,金額上並不是主流。DeFiLlama 對 Verus 的排名是第 58 大鏈、鎖倉約 2,200 萬美元;這個規模意味著它受到的審計與監控資源可能有限,但這是我的推測。

🧠 記

  • 案例: Verus 與以太坊橋,2026 年 5 月,損失超過 1,100 萬美元(Protos 轉述 Blockaid)。
  • 型態: 驗證步驟通過,但未核對來源鏈交易參數與目的鏈出款是否一致。
  • 對照: 與 2022 年 Wormhole、Nomad 同類(Blockaid 初步判斷)。
  • 背景: 2026 年 8 起橋攻擊約 3.286 億美元(PeckShield),多數金額來自 4 月 rsETH 事件。
  • 邊界: 原因為二手轉述的初步判斷;「成本 10 美元、10 行修補」為報導數字,未驗證。

✍️ 實踐

全部唯讀,約 40 分鐘。

  1. 畫流程(約 15 分鐘):在紙上畫一座橋的流程,標出「訊息驗證」與「出款內容」兩個位置,寫下三個應該相符的欄位(金額、收款者、資產)。
  2. 找原始資料(約 15 分鐘):去找 Blockaid 或 Verus 對該事件的原始說明,核對 Protos 的轉述有沒有被後續報告修正。
  3. 對照舊案(約 10 分鐘):讀一篇 Nomad 2022 事件的事後分析,寫一句話說明它與這次的相同與不同。

可證偽預測(台北時間):

  • 預測一: 2026 年 12 月 31 日前,PeckShield 公布的 2026 年橋攻擊累計損失仍低於 5 億美元 70%。
  • 預測二: 2026 年 12 月 31 日前,Verus 公開發布完整事後報告 40%。

🔗 延伸學習

💬 問 AI

我在整理 2026 年 5 月 Verus 與以太坊橋的攻擊。我只讀過 Protos 的一篇報導(轉述 Blockaid 與 PeckShield),沒讀 Blockaid 原始分析或 Verus 事後報告。
 
報導說的:
- 橋被抽走超過 1,100 萬美元。
- Blockaid 初步判斷,三個驗證步驟都通過,但沒有核對來源鏈交易參數與以太坊端出款是否一致,類似 2022 年 Wormhole 與 Nomad。
- 2026 年共 8 起橋攻擊,累計約 3.286 億美元。
 
請幫我:
(a) 用白話解釋「訊息驗證通過」與「訊息內容與出款一致」的差別,舉一個簡化的虛構例子;
(b) 說明 Wormhole 與 Nomad 的根因各是什麼,並標示哪些是你確定的、哪些是你不確定的;
(c) 列出橋合約出款前應該檢查的欄位清單;
(d) 每個結論標示「來源說的」、「你另外查到的(附網址)」、「你的推論」,不要編造連結、日期、數字。
這是學習用,不要給投資建議。

反向連結