跨链桥协议 CrossCurve 在周日遭遇黑客攻击，约 300 万美元 资金在多条区块链上被盗。协议方紧急要求用户暂停所有交互，并启动全面调查。
攻击手法：伪造跨链信息绕过 Axelar 网关验证
安全机构 Decurity 旗下 Defimon Alerts 分析，攻击者利用 CrossCurve 的 ReceiverAxelar 合约 漏洞，通过伪造的跨链信息调用 expressExecute 函数，绕过 Axelar 网关验证，直接触发 PortalV2 合约上的资金解锁操作。攻击者无需完成真实的跨链传输，仅靠伪装信息就能让合约误以为收到合法请求，从而释放锁定资金——这是跨链桥消息验证环节的典型安全缺陷。
CEO 发出 72 小时最后通牒
CrossCurve 执行长 Boris Povar 迅速回应，公布了 10 个接收被盗代币的钱包地址，并向攻击者喊话：若在 72 小时内归还资金，可保留 10% 作为漏洞赏金。Povar 表示：“这些代币是因智能合约漏洞而从用户手中被非法取走的。” 他同时警告，若期限到期未归还，CrossCurve 将启动法律诉讼、资产冻结并与执法机构合作追查。
Curve Finance 发布警告，建议撤回投票
合作方 Curve Finance 随即对用户发出警告，建议检视并考虑撤回对 CrossCurve 相关流动性池的投票。这意味着事件影响可能超出 CrossCurve 本身，与之整合的 DeFi 生态均需重新评估风险敞口。
跨链桥安全：DeFi 的阿喀琉斯之踵
跨链桥一直是 DeFi 领域最易受攻击的基础设施。从 2022 年 Wormhole 的 3.2 亿美元被盗、Ronin Bridge 的 6.25 亿美元被黑，到此次 CrossCurve 事件，安全问题始终未根治。核心原因在于跨链桥需在不同区块链间传递和验证消息，攻击面远大于单链应用。此次事件再次提醒用户：使用跨链服务前务必确认协议的安全审计记录，避免将大额资金长期放置于跨链桥合约中。