慢霧揭露跨鏈橋 Allbridge 攻擊細節：偽造 CCTP 消息、閃電貸，鑄幣結果校驗不足

ChainCatcher 消息，慢霧安全團隊披露，跨鏈橋項目 Allbridge 於 2026 年 8 月 19 日遭遇攻擊，損失約 19 萬美元。值得注意的是，此次攻擊並非即時完成，攻擊者早在近一個月前便開始佈局，並透過偽造跨鏈消息繞過驗證機制。根據慢霧分析，攻擊者於 7 月 26 日在 Polygon 鏈上直接調用 Circle 的 MessageTransmitterV2.sendMessage 函數，構造了一條偽裝成 CCTP 風格的跨鏈消息，聲稱存在 100 萬枚 USDC 轉帳，但實際上並未發生任何 USDC 銷毀操作。隨後，Circle 按照正常流程為該完整消息生成了有效驗證證明（attestation）。

約 24 天後，8 月 19 日，攻擊者等待 Base Router 收到一筆真實 CCTP 存款、餘額增加至約 19.1 萬 USDC 後，僅 6 秒後發起攻擊。攻擊者利用此前偽造的消息和驗證證明調用 Allbridge 的 receiveCctpMessage 函數，由於項目缺少關鍵校驗，系統將虛假跨鏈消息誤認為真實存款，並記錄了 100 萬 USDC 額度。隨後，攻擊者透過 Aave 閃電貸臨時借入約 80.9 萬 USDC，使 Router 餘額與偽造金額匹配，並利用內部信用記錄調用轉帳函數，最終轉出約 99.9 萬 USDC（扣除 0.1% 手續費）。歸還閃電貸及費用後，攻擊者淨獲利約 18.98 萬美元。此次漏洞根源在於 Allbridge 未驗證跨鏈消息發送方和接收方身份，也未確認 USDC 是否真實鑄造及餘額是否實際增加，而是直接信任攻擊者構造的金額和消息哈希數據。慢霧強調，鏈上消息驗證並不等同於真實資產到帳。跨鏈協議不僅需要驗證消息真實性，還必須確保消息來源可信、接收方為 Circle 官方 TokenMessengerV2，並在確認資產實際鑄造和餘額變化後才能進行資產記帳。此次事件再次凸顯跨鏈橋在消息驗證和資產結算環節中的安全風險。