跨链桥 Across 11 月 10 日紧急公告，要求使用者停止开启 App、不要连线钱包或签署授权，团队正在调查一起可能与网域有关的资安事件；社群已有多名使用者回报钱包被盗，官方正逐一索取交易细节。 （前情提要：$ACX 喷涨 80%！Across Protocol 拟将 DAO 改组实体公司，代币可 1:1 换股权或溢价赎回） （背景补充：Verus 以太坊跨链桥遭攻击！Blockaid 监测：损失逾 1,158 万美元）   跨链桥协议 Across Protocol 在 11 月 10 日透过 X 发出公告，要求使用者在调查期间不要开启自家应用程式、不要连线钱包，也不要签署任何交易或授权，直到另行通知为止。这是事件曝光后官方发布的第一份说明，贴文没有交代事件性质，也没有确认网站是否已遭入侵。 Across 是一条让使用者把资产在以太坊与其他区块链之间搬移的跨链桥，团队在官方公告中仅表示正在调查「潜在的资安事件」，并承诺持续更新进度。对仍挂着 Across 授权的使用者来说，官方目前给出的指引只有一条：先不要动。 ALERT We're currently investigating an issue with the Across domain. Do NOT visit the app, connect your wallet, or sign any transaction or approval there until further notice. We will post updates as we have them. — Across (@AcrossProtocol) November 10, 2026 社群端的灾情回报比官方说明来得更快。一名使用者表示操作后损失约 9,000 美元等值的 USDC；另一名使用者回报，在 Plasma 链上以七笔交易合计转出 7,053 颗 USDT0，等于把钱包中的稳定币余额一次清空。第三名使用者则指出，自己在多次使用该桥之后钱包被搬空，并直指网站已遭入侵。 Across 对这些回报的回应，是逐一索取交易杂凑以追查资金流向。 上述损失目前都只有使用者单方面说法，未经独立验证，Across 也未在截稿前回覆细节询问。不过，本刊在截稿前实际解析 across.to 与 status.across.to 两个网域，两者都回报无法解析（No address associated with hostname），与团队所称「网域出问题」的方向一致。这代表问题可能出在 DNS 或网域注册层级，而非链上合约被直接攻破；确切原因仍待官方鉴识结果说明。 一次授权，为何能搬空整个钱包 对跨链桥使用者来说，最危险的动作往往不是转帐，而是「授权」。使用者在前端按下确认的那一刻，真正发生的事是把某个代币的动用许可权交给一组合约地址。网站若在这一刻被替换成攻击者控制的版本，钱包弹出的签名视窗与平常并没有两样，使用者很难从介面看出自己签下的是把转帐许可权整包交出去。 这类被称为钱包盗取器（drainer）的手法，既不需要私钥，也不需要破解钱包本身，只要骗到一次授权，就能在之后任何时间把资产扫走。 11 月 5 日才曝光、由 GoPlus 示警的 iOS 自管钱包连环盗领事件，安全联盟 SEAL 统计损失约 56.1 万美元，走的就是同一条路径。对使用者而言，事后补救的顺序很明确：先检视近期签下的授权、撤销不认得的合约，之后只从官方验证过的入口进入。 跨链桥的老问题，这次换了入口 跨链桥过去几年的重大损失，几乎都发生在合约层。 Ronin 跨链桥在 2022 年被攻破，写下 DeFi 史上最大窃案之一，而该协议后续仍再度出包；今年 5 月 Verus 以太坊跨链桥遭攻击，Blockaid 监测损失超过 1,158 万美元。合约被攻破至少留下链上轨迹，也让审计与多签机制有明确的补强方向。 若这次真是前端或网域出事，攻击面就从智慧合约移到「使用者开启的那个网页」。对桥方来说，网域注册商、DNS 供应商、CDN 与前端部署链全部成了必须纳管的风险，而这些环节过去很少被写进智慧合约审计的范围。 Vercel 今年遭骇、连带让加密开发者急换 API Key 的事件，就是同一条供应链上的警讯。 对 Across 本身，时机并不好。该协议先前才提出把 DAO 改组为实体公司、让代币可 1:1 换股权或溢价赎回的构想，正准备把治理结构往机构市场靠拢；此刻若证实是网域或前端失守，投资人对其营运纪律的疑问，会比技术问题更难回答。跨链桥的价值建立在「把资产交给它几分钟」的信任上，而信任一旦需要靠鉴识报告修补，恢复期往往以季为单位。 后续观察 接下来要盯的有四件事：官方鉴识报告是否确认 DNS 劫持或网域商层级的变更、链上实际损失总额是否超过目前使用者口述的数字、是否有其他 DeFi 前端在同一时段中招，以及 Across 会不会暂停桥接合约止血。在官方给出结论前，「不要开、不要连、不要签」仍是唯一安全的操作。 相关报导 Vercel 遭骇、加密开发者急换 API Key：AI 工具 Context.ai 成破口，Web3 前端供应链拉警报 GoPlus 示警：iOS 自管钱包连遭盗！ SEAL 回报损失约 56.1 万美元，Trust Wallet 受害居多 DeFi史上最大窃案》Ronin跨链桥「又出包」无需多签即能掠夺资产，但现一转机〈Across 跨链桥疑遭入侵！官方急喊停用、钱包被盗空〉这篇文章最早发布于动区BlockTempo《动区动趋-最具影响力的区块链新闻媒体》。