加密黑客事件层出不穷，但攻击者冒巨大风险却只赚得“零头”的情况并不常见。7月5日，一场罕见的攻击在以太坊上上演：一名攻击者利用Hyperbridge跨链桥的漏洞，在以太坊上铸造了10亿枚Polkadot（$DOT）代币，价值约11.9亿美元，但最终仅套现约23.7万美元的以太坊（ETH）。
漏洞根源：跨链消息验证缺失
Hyperbridge是一个连接不同区块链的跨链网关。此次攻击并未影响Polkadot主网，而是针对以太坊上的桥接合约。据安全公司CertiK确认，漏洞位于Hyperbridge的EthereumHost合约中，该合约在验证传入的跨链消息时存在缺陷。当消息被路由到TokenGateway时，本应对来自Polkadot的合法跨链状态承诺进行验证，但合约中存储的承诺值竟然是全零，这意味着证明验证要么完全缺失，要么可以被绕过。
跨链桥一直是区块链架构中的薄弱环节，因为它们持有目标链上代币合约的管理员权限。一旦消息验证出现漏洞，攻击者就能无限铸造代币。本次攻击再次印证了这一点。
攻击过程：伪造消息→获得管理权→铸造并抛售
链上追踪显示，攻击者通过dispatchIncoming函数提交了一条伪造消息，该消息被路由至TokenGateway.onAccept。由于缺少有效的状态承诺验证，网关将该消息当作合法消息处理。接着，该消息执行了changeAdmin操作，将桥接DOT代币合约的管理员权限转移给攻击者控制的地址。获得权限后，攻击者在一笔交易中铸造了10亿枚DOT，并通过Odos Router V3将这批代币注入Uniswap V4的DOT-ETH流动性池。经过多次不同价格的互换，攻击者最终提取了约108.2 ETH，价值约23.7万美元。
流动性不足反成“保险”：为何只赚23.7万美元？
通常，流动性不足是巨鲸交易时面临的主要问题，但这次却成了攻击者的“绊脚石”。以太坊上的桥接DOT流动性池深度极为有限，10亿枚代币涌入市场后彻底压垮了订单薄，导致DOT价格暴跌至每一枚不足1美分。攻击者只能以几分之几美分的价格抛售，最终获利远低于理论上的数十亿美元。如果攻击发生在深度更大或价值更高的桥接资产上，损失将难以估量。
截至7月6日亚洲早盘，Polkadot原生代币DOT的价格约为1.20美元，未受此次事件影响。这表明攻击严格限定在以太坊上的桥接DOT合约，而非Polkadot主网。
市场影响：跨链桥安全再次敲响警钟
本次事件是2026年又一起针对跨链桥的重大攻击。此前，Solana生态的Drift Protocol在6月遭遇了2.7亿美元的盗取（因社交工程攻击而非代码漏洞）。相比之下，Hyperbridge漏洞利用的纯技术难度更高，但由于流动性限制，实际损失较小。
对于DOT持有者而言，价格未受到直接冲击，但事件可能引发对Hyperbridge信任度的长期影响。Hyperbridge官方尚未就此次攻击发表公开声明，也未披露其他使用同样网关的桥接代币合约是否面临相同风险。投资者应密切关注相关跨链协议的安全审计进展。
此次攻击也提醒市场：即使存在巨大漏洞，流动性不足也可能成为天然的“风险缓冲”。但这不是安全的解决方案，跨链桥仍需要更严格的验证机制和应急计划。