Syscoin披露跨链桥漏洞,约50亿枚SYS遭未授权释放

在团队通过链上方式联系后,攻击者返还了全部金额。团队随后销毁这些代币,并在共识与中继修复接受最终审查期间继续使跨链桥保持离线。

摘要

Syscoin表示,其未花费交易输出 (Unspent Transaction Output) 到 NEVM 跨链桥中的一处缺陷,导致约50亿枚SYS被未授权释放,原因是其基础设施中的两个部分对同一笔交易负载作出了不同解释。团队称,其于6月7日发现此次攻击,随后追踪资金流向多个UTXO地址,通过链上方式向攻击者发送包含恢复地址和警告的信息,并在之后收回全部资金,随后销毁这些代币,使供应量恢复到漏洞利用前的水平。6月15日发布的技术复盘称,攻击者使用了两个指向同一输出的资产承诺,其中一个引用原生SYS,另一个引用自定义测试代币,导致 Syscoin Core 与 NEVM 中继对该交易得出不同解析结果,并促使金库合约释放代币。交易所已于6月10日恢复原生SYS的充值与提现,但跨链桥仍处于暂停状态,等待最终验证完成;与此同时,Syscoin 正在增加针对重复或存在歧义的销毁交易的中继检查,并推进 Core 侧的共识变更。此次事件发生之际,SYS市场表现疲弱,且市场对跨链桥安全性的关注再度升温。PeckShieldAlert表示,截至2026年6月1日,跨链桥相关类别已发生14起重大漏洞利用事件,合计损失达$340.7 million。

术语与概念
  • UTXO-to-NEVM bridge: 连接Syscoin比特币式未花费交易输出 (Unspent Transaction Output) 链与其兼容以太坊的NEVM层、用于在两个系统之间转移资产的连接机制。
  • Asset commitments: 在跨链转移流程中,用于标识正在转移或销毁的具体资产的交易引用。
  • Consensus level: 在该协议层中执行全网验证规则,以确保所有节点对交易作出相同解释。