跨链桥项目Allbridge在遭遇闪电贷攻击后已暂停其协议，攻击者从Solana流动性池中窃取了约165万美元。据区块链安全公司和项目方确认，Allbridge允许用户在不同区块链之间转移资产，其核心产品使用原生稳定币（如USDC和USDT）池，而非铸造封装代币。
周日，项目方在推特上表示已“暂停协议作为预防措施”，同时展开调查，并呼吁流动性提供者从受影响的池中撤回资金。随后，Allbridge补充称团队正在准备详细的分解和事后分析报告，并强调“用户流动性目前没有威胁”，计划在无流动性池的情况下重新启动核心产品。
攻击过程
Allbridge证实了安全公司PeckShield此前发布的损失约165万美元的推文，指出攻击者已将资金从Solana桥接至以太坊。另一家安全公司CertiK详细描述了攻击方法：攻击者从Solana借贷协议Kamino借入112万美元的闪电贷，随后进行一系列快速稳定币兑换，扭曲了Allbridge池中资产定价的内部会计机制。
在池内价格被操纵后，攻击者将数千美元的USDT兑换为约224万美元的USDC，然后将所得资金桥接至一个以太坊地址，并分散至其他地址。目前尚不清楚有多少资金仍在可追回范围内。
这次操纵导致Allbridge的池子出现失衡，短暂地让其他交易者能够购买被错误定价的资产——项目方称之为“临时正向套利窗口”。Allbridge要求通过该窗口获利的交易者将资金发送至指定地址，并称这些资金将“直接用于补偿受影响的流动性提供者”，团队的目标是“返还所有受影响资金”。
并非首次
这是Allbridge第二次遭遇此类攻击。2023年4月，一次类似的闪电贷攻击从其BNB Chain池中盗走了约57.3万美元；项目方后来表示已追回大部分资金，并重新调整了流动性和提款的计算方式。Allbridge曾在2022年筹集了200万美元用于扩展桥接功能和资助安全审计。
DeFi为何屡遭巨额损失
桥接及其依赖的流动性池长期以来一直是DeFi中最常被攻击的基础设施。仅在2026年前五个月，DeFi黑客攻击就造成了超过8.4亿美元的损失，跨链系统多次产生单笔最大损失。就在上个月，Axelar与Secret Network之间的桥接因攻击者利用自定义代币合约中的“无限铸造”漏洞，被盗走了467万美元。
Allbridge的协议目前仍处于暂停状态，能否追回165万美元中的部分资金，取决于对桥接资金的追踪以及那些被呼吁归还资金的套利交易者是否真正返还资金。