Autheo遭跨链桥攻击:1900万枚THEO被换成700.8枚加密资产

1900万枚THEO兑换成700.8枚ETH

针对Autheo旗下THEO代币的攻击在截至10月12日的24小时窗口内完成,结果代币价格暴跌92%,攻击者将资金转移至以太坊(ETH)。该项目背后的团队Autheo于星期一在X平台发布安全公告,确认开发团队正在调查此次事件,并警告持有人在官方解除警报之前不要买入、卖出或跨链桥接THEO。公告没有披露损失的全部规模,没有点名漏洞所在,也没有给出损失估算。链上取证部分填补了这一空白:区块链安全公司PeckShield识别出一笔交易,攻击者在Layer 2网络Base上增发的1900万枚THEO被兑换为700.8枚ETH,价值约176万美元,随后所得资金经由跨链桥转入以太坊网络。这笔兑换是链上记录中对攻击者实际套取金额最清晰的度量,美元数值取决于兑换时点的价格。不过,另有一份事件报告给出的未授权增发规模远高于此。研究员Vlad在X上称,约有1.19亿枚THEO、接近代币供应量的70%,通过他描述为针对Hyperlane基础设施的跨链桥协议漏洞攻击被增发出来,随后被抛入足以吸收这些代币的流动性池。Autheo对这两个数字均未确认。公开记录也无法证明PeckShield标记的1900万枚批次与1.19亿枚增发属于同一操作序列,项目方既未确认Hyperlane就是漏洞来源,也未解释未授权增发是如何成为可能的。这家山寨币项目遭遇攻击期间的安全公司市场数据显示,THEO在同一24小时内贬值约92%,跌幅与抛售实时同步:每一笔砸向浅池子的抛单都把价格进一步压低。

9350万枚THEO落入陌生人的钱包

研究人员事后梳理交易历史时,一段后续浮出水面。一位经X认证、名为Zynex的用户在X上表示,一个与攻击者关联的地址在未经他任何操作的情况下,向他的钱包转入9350万枚THEO。他声明自己没有转移、出售或交换这些代币,并分享了指向BaseScan的交易链接和一张估值超过100万美元的钱包组合截图。但这一屏幕数字对实际可变现价值几乎没有参考意义:它按市场价给持仓定价,而在这种量级的崩盘之后,一旦尝试卖出,市价未必能维持。Autheo尚未确认这些代币是否属于项目本身,也没有公布任何回收地址。正是同一类公开浏览器,让外部观察者得以读取以太坊区块链及其Rollup上的数据。在调查推进的同时,Autheo扩大了安全提示范围:持有人被要求避开可疑的智能合约和链接,尤其是那些承诺追回服务或赔偿的链接,并且绝不透露私钥或助记词,团队提醒称冒充者会试图利用混乱牟利。项目方将需要交易协助的用户指引至一个支持邮箱,并表示经核实的更新只会通过官方渠道发布。公告没有给出任何恢复时间表、赔偿安排或代币功能恢复正常运行的日期。此次事件符合今年跨链桥基础设施以异常方式失效、凭空造出无足额背书代币的一贯模式。8月,The Sandbox在Base和BNB Smart Chain上被未授权增发SAND,起因是委托权限遭篡改,项目方称涉及代币不足供应量的0.01%,尽管研究人员统计的名义价值远超这一比例。7月,交易协议AFX通过其跨链桥损失约2415万美元的USDC,调查人员追踪到资金流向以太坊并兑换为ETH。6月,Humanity Protocol在一名员工笔记本电脑被入侵后,确认其Hyperlane合约的管理密钥失守,损失超过3600万美元。

增发的供应量不等于被盗的价值

增发量与实际被套取金额之间的落差,是判断这起事件的关键事实。链上记录能够支持的是:Base上增发1900万枚THEO,兑换为700.8枚ETH(约176万美元)并跨链至以太坊;而1.19亿枚和9350万枚这两个数字仍属于待确认的声明,需要等待一份经核实的复盘报告。未授权代币的价值仅取决于流动性允许攻击者赎回多少,这正是为什么名义上70%的供应量膨胀最终只换来了七位数的美元收益。深度在任何规模下都是决定因素:币安上的以太坊(ETH)流动性最近触及七个月低点,这一指标说明了订单簿对资金抽离的约束有多紧。在Autheo确认疑似Hyperlane漏洞的根本原因之前,攻击本身已被证实,但机制尚未查清;持有人应仅以官方更新为准,自行做好尽职调查(DYOR),而截至星期二,官方的解除警报仍未发出。