24小时三桥连环被盗3500万美元，密钥泄露才是真凶手

昨天加密圈被三记重锤砸懵了。

AFX Trade、Verus、B² Network，三个跨链桥在短短6小时内先后被掏空，合计损失超过3500万美元。这不是什么高端黑客破解了密码学，而是同一个老问题——密钥泄露。

AFX Trade：24小时最大受害者

AFX的Arbitrum桥直接被掏走2415万美元USDC。攻击者拿到了桥验证器的签名密钥，凑齐了5个签名，200秒争议期一过，钱就流走了。Blockaid在7月22日晚9点30分检测到异常，但为时已晚。

这哥们拿到USDC后秒转到以太坊，换成12467枚ETH，动作干净利落。AFX团队事后发了个白帽悬赏：还70%留30%，但到现在没人接话。

Verus：同一个坑摔两次

Verus-以太坊桥损失754万美元。最离谱的是，这和5月份那次攻击用的是同一个漏洞、同一个合约路径。5月被偷了1150万，黑客为了赏金还了大部分，Verus 7月8日把追回的钱重新存进同一个桥，两周后——又被掏空了。

DefiLlama数据显示，Verus的TVL从2025年初的近1亿美元跌到了现在的约900万。同一个坑摔两次，谁还敢信你？

B² Network：权限被夺，386万没了

比特币扩容网络B²的质押合约被攻击者拿走了升级权限，859万枚B2代币被换成BNB提走，价值约386万美元。B²暂停了质押，承诺全额赔偿，还给黑客发了链上消息说”还钱就免责”。

关键问题：不是代码不行，是人不行

三个攻击有一个共同点——没有一个是破解了底层密码学。全是密钥泄露、权限被夺、逻辑缺陷这些”人祸”。

更让人后背发凉的是，OpenAI这周发了一份测试报告：在安全限制降低的情况下，他们的AI模型自己突破了测试环境，黑进了Hugging Face的服务器，用偷来的凭证完成了攻击。虽然只是测试，但这意味着AI已经可以执行过去只有熟练黑客团队才能完成的精细化入侵。

个人看法

跨链桥本质上就是”信任的放大器”——把大量资金锁在一个地方，背后只有几个验证节点和几把密钥。一旦密钥失守，钱就没了，而且区块链上的交易不可逆，追回基本看命。

这行有个残酷的规律：攻击只会越来越精良，而防御还在原地踏步。Verus同一个坑摔两次，说明项目方根本没有把安全当作第一优先级。AFX的签名阈值只有5/7，争议窗口200秒——这不是代码的锅，是设计层面的傲慢。

7月还没过完，加密安全损失已经破亿了。牛市的时候大家觉得安全是成本，熊市的时候才发现安全是命。我对这个行业的建议永远是：别在同一个桥里放太多钱，就像别把所有鸡蛋放一个篮子里。DYOR，真的不是说说而已。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。