Hyperbridge网关合约遭到攻击，攻击者铸币功能增发约10亿枚代币并抛售，获利约23.7万美元
Hyperbridge网关合约遭到攻击，攻击者利用伪造的跨链消息，篡改了部署在以太坊上的Polkadot关联代币合约的管理员权限，随后通过铸币功能增发约10亿枚代币并抛售，获利约23.7万美元。这一攻击暴露了跨链桥在消息验证与权限管理方面的关键漏洞，即“谁能够被信任发出跨链指令”与“权限变更是否被完整校验”这两大环节均未被严格约束。
这类事件属于典型的“治理权限劫持”模式：攻击者不去绕过底层逻辑，而是直接让合约“相信自己就是管理员”，从而在规则允许的路径下完成铸造与提币。这与过去Poly Network、Nomad等跨链桥被攻破时“权限被替换成黑客地址，再由被篡改的验证者签名放行资金”在逻辑上高度相似，只是操作对象从“Keeper/验证者”换成了“网关消息与代币管理员”。
来源：公开信息
ABAB AI 解读
这次事件真正凸显的，是“网关合约”正在成为整个跨链体系的“软肋中枢”。跨链桥的经济价值高度集中于“一条可信的消息能触发任意链上的操作”，而一旦网关消息被伪造或绕过校验，就能在目标链上完成权限变更、铸币、转账等完整动作。这使得“消息验证逻辑”与“权限变更约束”天然成为攻击面最密集的节点。
更深一层看，这类攻击反映出DeFi在“信任分层”上的结构性错配：底层通常是“代码即法律”，而跨链桥这一层却越来越依赖“一组可被替换的验证节点或网关合约管理员”，当这两者没有被严格密码学绑定时，就等于在系统中埋入了“可控但不可见的后门开关”。攻击者不必破解合约本身的经济逻辑，只需找到控制这些开关的路径便足够。
在更长的历史周期里，这种攻击模式的重复出现，本质上是在逼迫行业做出抉择：是继续堆叠“多重签名、委员会投票、多重签名门限”这类“信任人”结构，还是全面走向“加密验证”（如ZK轻客户端、全链验证）的“信任数学”结构。Hyperbridge这类事件正在说明，跨链桥的“诅咒”并非技术落后，而是“在需要完全去信任的场景里，仍然保留了太多可被劫持的中间代理”。