Ankr以太坊跨链桥遭攻击，损失约29.2万美元
据安全公司Blockaid于2026年11月9日监测，Ankr在以太坊上的跨链桥遭到攻击，目前已有约29.2万美元资产经约5笔交易被转出，攻击仍在进行中。攻击者向该跨链桥提交了5次提款调用，利用Optimism网络上的一笔小额存款，将桥中锁定的资产解锁并转移至一个新钱包地址。
后续监测显示，攻击者引用同一笔合法Optimism交易，提交了五份伪造的跨链收据，修改收款人、代币及提款金额。慢雾指出，这五份收据均带有跨链桥可信共识签名者的有效签名，提款函数在未独立核验源链实际事件的情况下释放了资产。未经授权的签名来源仍在调查中，目前尚未确认签名者是否遭到入侵。
原始来源：
标题：Blockaid detected an ongoing exploit on @ankr on Ethereum 发布者：Blockaid (@blockaid_) 发布日期：2026-11-09 URL：https://x.com/blockaid_/status/（相关监测帖） 来源性质：安全监测机构公开通报 核验情况：本次读取相关英文报道及Blockaid监测内容，核验日期2026-11-09 支持内容：攻击者提交五次提款调用，利用Optimism小额存款解锁桥内资产，约29.2万美元被转出，攻击仍在进行
ABAB AI 解读
Ankr主要提供RPC节点与质押基础设施服务，其跨链桥用于在以太坊与其他网络间转移资产。此次攻击发生在2026年11月9日凌晨，攻击者通过Optimism上的一笔小额存款作为触发条件，在以太坊端连续发起五笔提款，将桥内锁定资产转至新地址。Blockaid将损失初步估为约29.2万美元，部分链上价格计算将其中三种主要代币合计约为30.3万美元。
慢雾的后续分析指出，五份伪造收据引用了同一笔合法的Optimism交易，但修改了收款人、代币种类和金额，且均携带跨链桥可信签名者的有效签名。这意味着提款逻辑未对源链实际存款事件进行独立核验，即可释放资产。此类验证失效属于跨链桥常见的攻击面，与此前多起桥接事件中“源链事件与目标链释放不匹配”的模式相近。
目前公开信息尚未显示Ankr已暂停相关合约或发布官方说明。桥的pause标志在攻击发生后仍显示为未暂停状态。攻击是否已完全停止、是否有更多资产被转出，以及签名者是否被入侵，仍取决于后续链上观察与项目方回应。跨链桥的验证逻辑一旦失效，锁定资产即可能被一次性提取，损失规模取决于桥内当时的库存而非单笔存款金额。
ABAB News · 认知定律
跨链桥提款若仅依赖源链收据签名而未独立核验实际存款事件，即可被伪造收据触发资产释放。
小额源链存款作为触发条件时，目标链释放规模取决于桥内锁定库存，而非存款金额本身。