Ankr以太坊跨鏈橋遭攻擊，損失約29.2萬美元
據安全公司Blockaid於2026年11月9日監測，Ankr在以太坊上的跨鏈橋遭到攻擊，目前已有約29.2萬美元資產經約5筆交易被轉出，攻擊仍在進行中。攻擊者向該跨鏈橋提交了5次提款調用，利用Optimism網絡上的一筆小額存款，將橋中鎖定的資產解鎖並轉移至一個新錢包地址。
後續監測顯示，攻擊者引用同一筆合法Optimism交易，提交了五份僞造的跨鏈收據，修改收款人、代幣及提款金額。慢霧指出，這五份收據均帶有跨鏈橋可信共識簽名者的有效簽名，提款函數在未獨立覈驗源鏈實際事件的情況下釋放了資產。未經授權的簽名來源仍在調查中，目前尚未確認簽名者是否遭到入侵。
原始來源：
標題：Blockaid detected an ongoing exploit on @ankr on Ethereum 發佈者：Blockaid (@blockaid_) 發佈日期：2026-11-09 URL：https://x.com/blockaid_/status/（相关监测帖） 來源性質：安全監測機構公開通報 覈驗情況：本次讀取相關英文報道及Blockaid監測內容，覈驗日期2026-11-09 支持內容：攻擊者提交五次提款調用，利用Optimism小額存款解鎖橋內資產，約29.2萬美元被轉出，攻擊仍在進行
ABAB AI 解讀
Ankr主要提供RPC節點與質押基礎設施服務，其跨鏈橋用於在以太坊與其他網絡間轉移資產。此次攻擊發生在2026年11月9日凌晨，攻擊者通過Optimism上的一筆小額存款作爲觸發條件，在以太坊端連續發起五筆提款，將橋內鎖定資產轉至新地址。Blockaid將損失初步估爲約29.2萬美元，部分鏈上價格計算將其中三種主要代幣合計約爲30.3萬美元。
慢霧的後續分析指出，五份僞造收據引用了同一筆合法的Optimism交易，但修改了收款人、代幣種類和金額，且均攜帶跨鏈橋可信簽名者的有效簽名。這意味着提款邏輯未對源鏈實際存款事件進行獨立覈驗，即可釋放資產。此類驗證失效屬於跨鏈橋常見的攻擊面，與此前多起橋接事件中“源鏈事件與目標鏈釋放不匹配”的模式相近。
目前公開信息尚未顯示Ankr已暫停相關合約或發佈官方說明。橋的pause標誌在攻擊發生後仍顯示爲未暫停狀態。攻擊是否已完全停止、是否有更多資產被轉出，以及簽名者是否被入侵，仍取決於後續鏈上觀察與項目方回應。跨鏈橋的驗證邏輯一旦失效，鎖定資產即可能被一次性提取，損失規模取決於橋內當時的庫存而非單筆存款金額。
ABAB News · 認知定律
跨鏈橋提款若僅依賴源鏈收據簽名而未獨立覈驗實際存款事件，即可被僞造收據觸發資產釋放。
小額源鏈存款作爲觸發條件時，目標鏈釋放規模取決於橋內鎖定庫存，而非存款金額本身。