安全
跨链桥安全事件库
关键结论
本库收录 2021–2026 年 16 起跨链桥安全事件，报告损失合计约 $32.66 亿（每个数字取所引来源在事发时报告的金额，未扣除事后追回）。损失最大的是Ronin 跨链桥（2022-03-23，173,600 ETH + 2,550 万 USDC（约 6.24 亿美元））；16 起中有 4 起是私钥或签名者被控；2026 年发生 6 起，最近一起是 2026-10-01 的NEAR Intents。
- 收录规则： 只有 ≥300 字原创分析且 ≥2 个独立来源的事件才生成详情页，否则只在本表占一行。
- 损失口径： 按所引来源报告的事发时美元价值；DefiLlama Hacks 只作为来源之一，从不单独引用。
- 日期： 按 UTC 日历日记录事发日期。
每个事件页都列出来源；底稿来自 DefiLlama Hacks · CC BY 4.0
库里收录了哪些跨链桥事件？
共 16 起，按时间倒序；其中 15 起有完整复盘。点击表头可排序。
| 日期（UTC） | 协议 | 报告损失 | 根因 | 追回 | 链 | 详情 |
|---|---|---|---|---|---|---|
| 2026-10-01 | NEAR IntentsNEAR Intents | $380 万 | 合约漏洞 · 存款通知功能在代币已被退回时仍保留账本记账，产生无资产支撑的余额 | 资金已退回 | NEAR, BNB Chain, other Omni-connected chains | 详情页 |
| 2026-09-27 | 假冒 GIWA 跨链桥OP Stack Standard Bridge | $200 万 | 冒充与钓鱼 · 假二层网络使用预期的链 ID，跨链桥代理合约由 2-of-2 Safe 控制；控制者替换门户代码并清空存款 | 部分追回 | Ethereum, fake GIWA chain (ID 9134) | 详情页 |
| 2026-09-11 | Symbiosis（BTC 桥）Symbiosis | $34 万 | 验证逻辑缺陷 · 比特币侧解码器从存款数据中由花费者控制的部分读取发送方，攻击者借此冒充授权存款人和 portal 管理员，把最低手续费设为负数；负手续费从未检查正负号，一笔 330 聪的存款因此铸出任意数量的 syBTC | 部分追回 | BNB Chain, Ethereum, Rootstock, Bitcoin | 仅列表 |
| 2026-09-06 | Liquid Network | $3.2 亿 | 验证逻辑缺陷 · Elements 区间证明（rangeproof）验证缓存的键编码有歧义，伪造的机密输出复用了缓存中的“有效”结果，凭空增发 L-BTC | 部分追回 | Liquid, Bitcoin | 详情页 |
| 2026-07-17 | Across Protocol（Solana 中继者）Across | $450 万 | 链下软件缺陷 · 链下中继者没有校验 Solana Anchor 事件的 8 字节判别符，伪造的存款事件被当成真实存款 | 用户获全额补偿 | Solana, 18 destination chains | 详情页 |
| 2026-04-18 | KelpDAO rsETH 跨链桥（LayerZero）Stargate | $2.92 亿 | 配置与信任设置 · rsETH 只配置一个必需验证者（1-of-1 DVN）；攻击者污染 LayerZero Labs 内部 RPC 节点并 DDoS 外部节点，使 DVN 为伪造的 Unichain→Ethereum 消息签名 | 部分追回 | Ethereum, Unichain, Arbitrum | 详情页 |
| 2024-07-16 | LI.FIJumper (LI.FI) | $1,160 万 | 代币授权被滥用 · 新部署的 GasZipFacet 允许不经白名单校验的任意调用，导致给了无限授权的钱包被转空 | 用户获全额补偿 | Ethereum, Arbitrum | 详情页 |
| 2024-01-16 | Socket / BungeeBungee (Socket) | $330 万 | 代币授权被滥用 · 新路由的 performAction 把未校验的 swapExtraData 直接用于调用，攻击者借此注入 transferFrom 盗取用户授权 | 部分追回 | Ethereum | 详情页 |
| 2023-12-31 | Orbit Bridge | $8,150 万 | 私钥 / 签名者被控 · 提款由 10 个多签签名人中的 7 个签署；Orbit 称不是合约漏洞，并归咎于一名前高管修改的安全设置（未经证实） | 未追回 | Ethereum | 详情页 |
| 2023-07-06 | Multichain | $1.26 亿 | 私钥 / 签名者被控 · 资金由实际上被一人控制的 MPC 密钥保管；资金流出是黑客攻击还是内部行为，至今没有定论 | 未追回 | Fantom, Moonriver, Dogecoin bridge | 详情页 |
| 2022-10-06 | BNB Chain BSC Token Hub | $5.7 亿 | 验证逻辑缺陷 · Token Hub 预编译合约使用的 IAVL 默克尔证明验证有漏洞，攻击者伪造了两笔各 100 万 BNB 的提款证明 | 部分追回 | BNB Smart Chain, BNB Beacon Chain | 详情页 |
| 2022-08-01 | Nomad 跨链桥 | $1.9 亿 | 验证逻辑缺陷 · 2022 年 6 月的升级在初始化 Replica 合约时把零值根标记为可信，导致任何未经证明的消息都能通过验证 | 部分追回 | Ethereum, Moonbeam, other Nomad-connected chains | 详情页 |
| 2022-06-23 | Harmony Horizon 跨链桥 | $1 亿 | 私钥 / 签名者被控 · 攻击者钓鱼一名开发者并取得服务器访问权后，拿到至少两把桥验证者私钥，足以批准提款 | 未追回 | Ethereum, BNB Chain, Harmony | 详情页 |
| 2022-03-23 | Ronin 跨链桥 | $6.24 亿 | 私钥 / 签名者被控 · 攻击者拿到 9 个验证者中的 5 个签名：4 个 Sky Mavis 密钥，加上通过一份从未撤销的免 gas RPC 白名单获得的 Axie DAO 签名 | 用户获全额补偿 | Ethereum, Ronin | 详情页 |
| 2022-02-02 | WormholeMayan | $3.26 亿 | 验证逻辑缺陷 · Solana 合约的 verify_signatures 接受了伪造的“指令 sysvar”账户，守护者签名实际上从未被真正校验 | 用户获全额补偿 | Solana, Ethereum | 详情页 |
| 2021-08-10 | Poly Network | $6.11 亿 | 验证逻辑缺陷 · 跨链管理合约可被诱导调用保存 keeper 公钥的数据合约，攻击者借此把 keeper 换成了自己的密钥 | 资金已退回 | Ethereum, BNB Chain, Polygon | 详情页 |