简要

  • 跨链桥 Allbridge 在攻击者从其 Solana 稳定币流动性池中盗走约 165 万美元后，暂停了其 Core 协议。
  • 攻击者利用借贷协议 Kamino 提供的 112 万美元闪电贷扭曲了池子的内部定价，然后廉价提取资产并将其桥接到以太坊。
  • Allbridge 通知流动性提供者撤资，并要求从由此产生的不平衡中获利的交易者归还资金。

据区块链安全公司和项目方称，跨链桥 Allbridge 在一次闪电贷攻击中，攻击者从其 Solana 流动性池中盗走约 165 万美元，随后暂停了其协议。

Allbridge 允许用户在无法原生通信的 区块链 之间转移资产，其 Core 产品使用原生 池 中的 稳定币（如 USDC 和 USDT），而不是铸造包装代币。周日，团队表示已“暂停协议作为预防措施”并进行调查，同时敦促流动性提供者从受影响的池中撤资。

在后续的 推文 中，Allbridge 指出其团队正在“准备详细分解”和事后报告，并 补充说“目前用户流动性没有威胁”，因为它正在努力在没有流动性池的情况下重新启动 Core。

事件经过

Allbridge 确认了安全公司 PeckShield 早前的一条 推文，该推文指出损失约为 165 万美元，并提到攻击者已将资金从 Solana 桥接到以太坊。

同行公司 CertiK 详细描述了该方法，攻击者通过 Solana 借贷协议 Kamino 借入 112 万美元的 闪电贷，然后快速进行一系列稳定币兑换，以扭曲 Allbridge 池中资产定价的内部核算。

在池子定价错误后，攻击者将几千美元的 USDT 兑换成约 224 万美元的 USDC，然后将所得资金桥接至一个以太坊地址，并分散到其他地址。目前尚不清楚还有多少资金可被追回。

这次操纵导致 Allbridge 的池子失衡，短暂地让其他交易者能够买入错误定价的资产——团队称之为“临时的正向套利窗口”。该 DeFi 平台要求任何从该窗口中获利的用户将资金发送至指定地址，并表示这些资金将“直接用于补偿受影响的 LP”。团队补充说，其“目标是返还所有受影响的资金”。

并非首次

这是 Allbridge 第二次遭遇此类攻击。2023 年 4 月，一次类似的 闪电贷攻击 从其 BNB Chain 池中盗走了约 57.3 万美元；该项目后来表示已 追回了大部分资金，并重新设计了流动性和提现的计算方式。Allbridge 于 2022 年 筹集了 200 万美元，用于扩展跨链桥并资助安全审计。

跨链桥及其依赖的流动性池长期以来一直是 DeFi 中最常被攻击的基础设施。仅在 2026 年的前五个月，就有 超过 8.4 亿美元 因 DeFi 黑客攻击而损失，跨链系统屡次造成最大的单笔损失。就在上个月，Axelar 和 Secret Network 之间的一个跨链桥在攻击者利用自定义代币合约中的“无限铸造”漏洞后，被 盗走了 467 万美元。

Allbridge 的协议仍处于暂停状态，165 万美元中有多少能够追回，将取决于追踪桥接资金的去向——以及它呼吁的套利交易者是否真的将钱退回。