慢雾揭露跨链桥 Allbridge 攻击细节：伪造 CCTP 消息、闪电贷，铸币结果校验不足

AI 摘要

慢雾安全团队披露，跨链桥项目 Allbridge 于 8 月 19 日遭攻击，损失约 19 万美元。攻击者提前近一个月在 Polygon 链上伪造 CCTP 风格的跨链消息，并利用 Circle 生成的验证证明，在 Base Router 收到真实存款后，通过闪电贷借入资金匹配余额，最终转出约 99.9 万 USDC，净获利约 18.98 万美元。漏洞根源在于 Allbridge 未验证消息发送方和接收方身份，也未确认 USDC 是否真实铸造及余额变化，过度信任伪造的消息哈希。慢雾提醒，链上消息验证不等于资产到账，跨链协议需加强关键校验。