4月13日，区块链安全公司Certik发出紧急警报，指出波卡（Polkadot）生态内的Hyperbridge网关因重放漏洞被恶意利用，攻击者在以太坊网络上非法铸造了高达10亿枚未经授权的DOT代币。消息传出后，DOT价格从1.23美元急速下挫至1.16美元，跌幅接近6%。截至发稿时，代币已部分回升至1.19美元，但市场恐慌情绪仍未完全消散。
漏洞利用与价格冲击
On-chain数据显示，攻击者利用Hyperbridge网关智能合约中的验证缺陷，通过发送伪造消息获得了以太坊上桥接DOT合约的管理权限，随即触发一笔生成10亿枚代币的交易。尽管被铸造的代币数量极为庞大，但由于以太坊上桥接版DOT的流动性相对较浅，攻击者未能实现大规模套现。据Lookonchain分析，攻击者仅通过单笔兑换将所有伪造代币换得约108.2枚以太币，按当时价格计算价值约23.7万美元。若该桥接资产拥有更充足的流动性，财务损失将大幅放大。
漏洞技术细节
Certik在初步事后分析中明确指出，此次漏洞源于Merkle Mountain Range计算根函数的重放缺陷。在calculatoroot函数中，证明未能与请求正确绑定，使得攻击者能够复用旧的状态承诺。进一步地，tokengateway.handlechangeadmin函数缺乏严格的输入检查，允许攻击者任意构造请求数据。最终，恶意代码绕过系统限制，攻击者顺利更改了波卡代币的管理员。正如Certik所述：“攻击者提交的‘proof’值是从上一笔交易中的‘_stateCommitments’中复制的……从而使得重放攻击成为可能。”
影响范围与后续措施
安全专家迅速澄清，此次攻击仅限于以太坊上的Hyperbridge网关。波卡的核心中继链以及驻留在波卡网络上的真实DOT代币并未受到影响，资产安全得到保障。截至报道发布，Hyperbridge开发团队尚未发布完整的漏洞事后报告，但预计将部署智能合约补丁，以修复管理型函数的安全验证逻辑，防止类似攻击重演。市场方面，DOT投资者需密切关注该事件的后续进展，尤其是Hyperbridge官方对安全漏洞的处理和升级计划。