隨著區塊鏈技術的發展及各類新增長的出現，加密貨幣生態系統隨之產生了更多的安全風險及復雜性。
2021年攻擊全景詳見【在2021年的基礎上，2022年的攻擊賽道又出現了一位“強力選手”。在2021年的基礎上，2022年的攻擊賽道又出現了一位“強力選手”。
在2021年的基礎上，2022年的攻擊賽道又出現了一位“強力選手”。
跨鏈橋作為新的攻擊載體，安全性方面的發展尚未成熟。因此，跨鏈橋也是所有項目以及開發人員應該提高警惕的領域之一。
2022年的春節假期尚未結束時，跨鏈橋即發生了兩起重大攻擊，算上春節前的另一起同類事件，短短10天內的三起攻擊事件使得黑客在跨鏈橋方面取得了“傲人”成績。
一級標題
一級標題
跨鏈交易
跨鏈交易的步驟如下：
1.用戶將代幣“存入”一條鏈上的“bridge合約”，並生成一個證明，指定所需的跨鏈信息（例如，要提取的代幣數量及接收者地址）。
Qubit Bridge漏洞事件"代幣。"代幣。
圖片描述
一級標題
Qubit Bridge漏洞事件
攻擊者偽造數據繞過bridge合約的數據真實性檢查，在沒有提供任何加密貨幣的情況下使bridge合約產生了攻擊者已存款的虛假時間證明。
其根本原因在於ETH和ERC-20的存款共享相同的事件證明。這允許攻擊者調用該函數利用不存在的ERC20存款事實生成虛假的ETH存款事件證明，並以此在另一條鏈上提取ETH。
一級標題
一級標題
Meter Bridge漏洞事件
該漏洞與Qubit bridge漏洞很相似——攻擊者避過bridge合約向bridge提供不存在的代幣證明從而跳過了驗證過程，從而可以在另一個鏈上提取代幣。
Bridge合約提供了兩個方法：deposit和depositETH。然而，這兩個方法產生了相同的存款事件證明，並且deposit函數並沒有阻止WETH/WBNB的存款交易，也沒有銷毀或鎖定WETH/WBNB。
黑客通過使用deposit，在沒有任何真實存款的情況下使bridge合約產生了虛假的WETH/WBNB存款事件證明。
一級標題一級標題】。
Solana跨鏈橋蟲洞事件
Solana蟲洞的漏洞事件中，攻擊者通過向指令注入一個惡意的“sysvar account”來繞過“verify signature”，並偽造了一個鑄造Wormhole-wrapped Ether的消息。
這個漏洞的根本原因是在驗證簽名過程（“verify_signatures”）中，程序使用了一個在Solana更新至1.8.0時即被廢棄的“load_current_index”函數。該函數不會驗證輸入的“sysvar account”是否真的是“system sysvar”，從而攻擊者可以趁機偽造這個關鍵帳戶。
此後，攻擊者利用此偽造的賬戶生成了虛假的鑄幣信息，然後根據得到的鑄幣在目標鏈上提取了相應真實代幣。
一級標題一級標題】。
三起“炸橋案”總結
Qubit以及Meter.io的bridge代碼未能處理臨界情況，也就是說，合約的ERC20存款功能可以用來生成虛假的ETH/BNB存款事件證明，而後者成為了目標鏈上提取真實ETH/BNB的憑證。
一級標題
一級標題
如何應對該類漏洞？
在上述攻擊中，我們可以吸取到一些關鍵教訓：
1.對於不同的功能，比如ERC20的存款和ETH/BNB的存款，合約應產生不同的事件證明。
2.始終記得驗證用戶注入的輸入。
3.密切關注近期漏洞事件，並檢查其他項目是否存在類似情況。
4.需要對每個bridge的核心合約進行相應審計。
除此之外，當該漏洞發生後，我們應該：
1.停止中繼消息層並暫停代幣傳輸，bridge合約也應暫停所有充提幣功能。
2.立即通知社區、交易所和平台合作夥伴，監控資金流向。
3.建立與權威安全專家們的溝通渠道，進行有效的討論和信息共享。
4.識別、驗證和修復漏洞。及時測試以確保現有的漏洞得到解決以及未產生新的漏洞，同時對bridge合約進行升級。
5.評估損失，並與社區就被利用的資產數量、可追回的資產以及補償計劃進行坦誠地溝通
