假冒 GIWA 跨链桥安全事件（2026-09-27）
假冒 GIWA 跨链桥发生了什么？
2026 年 9 月 26–27 日，诈骗者搭建了一个假“GIWA 主网”（冒充 Upbit 运营方 Dunamu 尚未上线的二层网络），配有自己的 RPC 和跨链桥。约 1,331 个钱包跨入 767 ETH；9 月 27 日 07:29 UTC（UTC+8 15:29），桥的控制者提走 766.25 ETH（约 200 万美元），随后转入 Tornado Cash。
基本事实
- 日期（UTC）
- 协议
- 冒充 GIWA（Upbit 运营方 Dunamu 尚未上线的二层网络）的假“GIWA 主网”与 OP Stack 式跨链桥
- 报告损失
- 766.25 ETH（约 200 万美元），约 1,331–1,335 个钱包存入；DefiLlama 记为 208 万美元 PublicAMLCointelegraphCryptoSlateDefiLlama
- 根因
- 冒充与钓鱼 — 假二层网络使用预期的链 ID，跨链桥代理合约由 2-of-2 Safe 控制；控制者替换门户代码并清空存款 PublicAMLCryptoSlate
- 涉及链
- Ethereum, fake GIWA chain (ID 9134)
- 追回情况
- 部分追回
- 官方复盘
- 待核实
时间线
带具体时刻的条目为 UTC+8（北京时间）；只有日期的条目按 UTC 日历日。
- 2026-09-26 — 与该行动相关的钱包通过 ChangeHero 获得资金；约 11 小时后控制用 Safe 和假桥上线。 CryptoSlate
- 2026-09-27 02:07 — 第一个 Safe 所有者部署桥代理合约和 2-of-2 Safe（02:07–02:10）。 PublicAML
- 2026-09-26 → 27 — 约 13 小时内，1,331 个钱包向假桥发起 2,136 笔存款；DYORSWAP 上架该网络。 PublicAML
- 2026-09-27 15:29 — 桥控制者在一笔交易中提走 766.25 ETH。 PublicAML
- 2026-09-27 — GIWA 声明其主网并未运行。 Cointelegraph
- 2026-09-28 — 资金全部进入 Tornado Cash（PublicAML）；DYORSWAP 发布复盘，并支付超过 200 ETH 补偿。 Cointelegraph
资金去向与追回情况
9 月 27 日 07:29 UTC（UTC+8 15:29），桥的控制者在一笔交易中提走 766.25 ETH；到 9 月 28 日上午，PublicAML 追踪到全部资金经五条分支进入 Tornado Cash（PublicAML）。CryptoSlate 引用分析师 Stablemark 更早的快照：当时 177 ETH 已进入 Tornado Cash，589 ETH 仍在四个钱包中（CryptoSlate）。
曾上架该假网络的 DEX DYORSWAP 表示已向受影响用户支付超过 200 ETH 补偿（Cointelegraph）。未见被盗 ETH 被追回的报道。
影响了哪些路线和桥？
只有从 Ethereum 把 ETH 跨进假“GIWA 主网”的人受损。GIWA 官方表示其主网并未运行，流传的“泄露 RPC”信息是假的（CryptoSlate）。没有任何真正的 OP Stack 官方桥被攻破；假门户只是指向真实的 OptimismPortal 代码，因此在区块浏览器上看起来像标准桥（PublicAML）。
本站相关桥评测： OP Stack Standard Bridge
为什么会发生？
这次严格来说没有“被黑”：合约完全按所有者的权限运行。桥是一个代理合约，其实现可由 2-of-2 Safe 更换；它最初指向真实的 OptimismPortal 代码，所以在区块浏览器上粗看就是一个标准 OP Stack 桥（PublicAML）。该网络使用了大家预期的 GIWA 主网链 ID（9134），这正是 DYORSWAP 初步核验时被说服的原因（CryptoSlate）。
真正的信号在链下：GIWA 从未宣布主网上线，文档里只列有 Sepolia 测试网。官方 Rollup 桥的门户合约归 Rollup 公布的治理结构所有（OP Stack 链为该链的 ProxyAdmin 及其文档列明的所有者），地址会出现在项目自己的文档和 L2Beat 上。一个由两个陌生地址控制、几小时前才部署的桥，这些检查一条都过不了。
这一事件说明“合约代码已验证”不等于“桥是安全的”。可升级代理合约的信任取决于谁能升级它——安全模型是管理员，而不是代码。
与真正的 Rollup 桥相比：官方 OP Stack 桥不可能由两把匿名密钥升级，其提款要经过公开的挑战期。这里两道保护都不存在，所以控制者一笔交易就能清空金库。
用户当时该怎么做？现在该怎么做？
当时
跨入一个“新主网”之前，用户需要在项目官网和官方 X 账号上确认主网已上线，并在官方文档或 L2Beat 上查到桥合约地址。想抢先进入未官宣的网络，正是这类骗局利用的心理；等一天官方公告就能避免损失。
现在
使用任何 Rollup 原生桥时，从项目自己的文档进入（本站评测页列出已核对的官方链接），确认该链在 L2Beat 上有收录，默认把“泄露的 RPC”和“抢先体验”桥当作骗局。不要通过聊天群里的链接把网络添加到钱包。
哪些内容仍待核实？
- 待核实 存款钱包数略有出入：1,331（PublicAML）、1,333（CryptoSlate）、1,335 个地址（DYORSWAP，据 Cointelegraph）。
来源
4 个独立发布方，链接按标注日期核对。
- Fake GIWA bridge: 1,331 wallets paid in, and all 766 ETH went to Tornado Cash — PublicAML · 数据分析 · 核对于
- Scammers steal $2M in ETH as fake GIWA network fools DYORSWAP — Cointelegraph · 媒体 · 核对于
- Crypto scammers built an entire fake blockchain to steal over $2 million — CryptoSlate · 媒体 · 核对于
- DefiLlama Hacks — fake GIWA bridge, 2026-09 — DefiLlama · 数据库 · 核对于
如何引用本页？
Burn, A. / upswap.io（2026）。假冒 GIWA 跨链桥安全事件（2026-09-27）。更新于 2026-10-24。https://upswap.io/zh/incidents/fake-giwa-bridge-2026#summary。CC BY 4.0。访问日期：____。
稳定锚点：#summary #facts #timeline #funds #affected #analysis #then #now #sources #cite