跨链协议CrossCurve遭黑客攻击，损失300万美元

跨链去中心化交易所 CrossCurve（原 EYWA）确认其跨链流动性协议遭遇黑客攻击，PortalV2 合约余额从近 300 万美元骤降至接近零。攻击涉及多条区块链网络，并非单独一条链。项目方已向受影响用户发布回应，同时启动赏金计划和法律追责程序。

攻击原理：伪造跨链消息绕过验证

安全分析指出，漏洞存在于 ReceiverAxelar 合约的 expressExecute 功能中。攻击者直接调用该功能并植入伪造消息，绕过了内置的网关验证检查。区块链安全机构 Defimon Alerts 将这与 2022 年 Nomad 桥攻击手法类比，认为协议仍面临同类风险。

项目方回应：赏金、退款与司法威胁

CrossCurve 将盗取资金转至 10 个地址。项目方声明：非恶意持有者可在 72 小时内保留 10% 作为赏金，剩余资金需退回指定地址（以 0x624E 开头）。若未及时配合，项目方将提起刑事诉讼和民事诉讼，并将与交易所及 Circle 合作冻结资产，同时公开恶意地址与分析结果。

协议背景与风险提示

CrossCurve 是一个跨链 DEX 与共识桥，整合了 Axelar、LayerZero 和 EYWA Oracle Network 等验证协议，并与 Curve Finance 合作。Curve Finance 创始人 Michael Egorov 曾在 2023 年 9 月投资该协议，项目共融资 700 万美元。项目方此前强调“安全优先”设计，声称多个跨链协议同时被攻破的概率几乎为零。如今这一漏洞暴露了多链验证系统的脆弱性。

安全专家普遍警告：桥接协议仍是 DeFi 中风险最高的领域，尤其是依赖多链验证的项目。Curve Finance 建议用户检查与 Eywa 相关池子的持仓并考虑撤回投票。CrossCurve 也呼吁用户在调查结束前停止与项目互动。