Verus以太坊跨链桥漏洞：同一个1158万美元的缺陷
2026年5月18日，有人洗劫了Verus-Ethereum跨链桥，卷走了1158万美元。根据CoinDesk的报道，这是今年第八起跨链桥被黑事件。这次Verus Ethereum跨链桥漏洞利用事件并不涉及什么新奇的攻击手法。它与2021年以来不断夺命的桥接攻击如出一辙：合约在未能正确验证对端链上实际发生了什么的情况下，便在一条链上释放了资金。
这次的漏洞函数有一个名字：checkCCEValues。这个例程本应在Ethereum侧铸造或释放之前，确认跨链导出值与实际情况相符。它没有尽职，攻击者就此得手。
我在受监管环境中从事跨链基础设施相关工作已有四年，令人沮丧的是，这一切已经变得如此可预期。我们不过是在给同一道伤口换个名字。
Verus Ethereum跨链桥漏洞本质上是一次源端验证失败
剥去所有包装，每一座跨链桥做的都是同一件事。它观察A链上发生的事件（一笔存款、一次锁仓、一次导出），并在B链上产生相应的动作（铸造、解锁、释放）。整个安全模型归结为一个问题：B链是否真正相信A链所说的话，它有没有验证？
当确认源端金额的验证逻辑出错时，答案便是"没有"。攻击者伪造或夸大所声明的导出金额，目标链合约对此深信不疑，于是没有任何抵押支撑的代币就被铸造或释放出来。The Block报道称损失约为1158万美元，正是通过跨链导出检查中的这种账目漏洞被悉数抽走。
这就是跨链桥中的源端金额验证，也是整个系统中承载最重的功能。一个比较运算的错误，就足以让跨链桥变成一台免费的印钞机。
checkCCEValues 只是一个旧漏洞的最新名称
checkCCEValues 漏洞在结构上与已经让行业损失数十亿美元的旧漏洞如出一辙。名称在轮换，机制却没有改变。
- Wormhole，2022 年：签名验证存在缺口，攻击者铸造了 12 万枚从未被存入的包装 ETH。
- Nomad，2022 年：Merkle 根初始化出现错误，导致任何消息都能通过验证，桥接协议遭到群体性复制粘贴攻击。
- Multichain，2023 年：密钥与信任假设无法从外部得到任何验证。
这些案例的核心问题都是一样的：目标链在没有充分证明源事件的情况下释放了价值。checkCCEValues 不过是 2026 年对同一问题的新一轮重演。
我认为，行业一直将这些事件视为个别工程失误，而实际上这是一种系统性失败。仅靠更严格地审计某一个函数，无法解决类别层面的问题。
Tornado Cash 为攻击者提供了资金，这揭示了攻击意图
攻击者的钱包在漏洞利用之前就通过 Tornado Cash 完成了资金充值。这一细节对于溯源归因的意义不大，但它揭示了攻击者的预谋程度。这不是一个无意间触发了意外结果的白帽研究员。通过 Tornado Cash 预先充值的模式，是某个提前数天布好撤退路线、并预期资金需要在出逃过程中洗白的人留下的标志。
这正是防御方最容易低估的环节。当漏洞利用交易落链时，退出路径早已搭建完毕。事后追踪对检察官有所帮助，但对那个刚刚损失了八位数资产的协议而言，几乎毫无意义。
跨链桥安全漏洞已成每月固定损耗
从更宏观的视角来看，Verus 事件不过是其中一行记录，而非个例。根据 PeckShield 数据，引自 Bitcoin.com，仅 2026 年 5 月，加密跨链桥漏洞造成的损失合计约 3.28 亿美元。今年不到五个月内，已发生八起跨链桥攻击事件。
市场已悄然将其定价为跨链业务的运营成本。这是个错误的教训。每月高达九位数的周期性损失不是波动性，而是设计空间拒绝正视的结构性缺陷。
对于任何转移真实价值的人来说，结论令人不安：大多数桥接协议不过是披着数学外衣的信任假设。我在《稳定币桥接协议的真实失效方式》中曾提出，最安全的桥接往往是那些坦然承认自己验证甚少的协议。
一个真正可靠的桥接检查应该是什么样的
如果你正在构建或审计桥接协议，源金额验证是你应该投入最多精力审查的地方。以下几点我认为是不可妥协的：
- 目标合约必须验证源事件的密码学证明，而非依赖中继方的一面之词。在延迟预算允许的情况下，优先选择轻客户端或零知识证明，而非多签证明。
- 金额检查必须覆盖每一条代码路径。
checkCCEValues这类漏洞通常隐藏在某些输入会跳过的分支中。对比较逻辑进行模糊测试，不要凭眼睛判断。 - 对每种资产设置速率限制和熔断机制，使伪造的数值无法在单笔交易中耗尽整个储备金。一个每小时自动暂停超过总锁仓价值 5% 提款的上限，本可在 2026 年大多数安全事件中起到缓冲作用。
- 独立的不变量监控，实时监测铸造总量与锁定总量，一旦出现偏差立即暂停。
这些都不是新鲜事。用于发现这类问题的审计工具链已经存在，我在审计工具链专题中对此进行了深入探讨。问题在于，桥接协议一再将验证逻辑作为事后补丁而非核心产品来对待。
2026 年的下一次桥接攻击已经在被编写之中。它会有一个不同的函数名，却有着相同的根本原因，而我们还会再次装作惊讶。本不应如此。