链上数据显示，攻击发生在周日，伪造跨链消息绕过状态证明验证，直接让合约将桥接DOT管理员权限转给攻击者地址。攻击者一笔交易铸造10亿枚代币，价值约11.9亿美元，随即通过Odos Router V3路由至Uniswap V4的DOT-ETH池。CertiK安全公司确认，整个过程提取108.2 ETH。Hyperbridge的EthereumHost合约本该检查来自Polkadot的跨链状态承诺，却存入全零值，导致验证失效。攻击者就这样轻松接管，Polkadot核心网络和原生DOT完全不受波及。DOT现价徘徊在1.20美元下方，桥接版流动性浅薄成了攻击者的绊脚石。
攻击路径清晰。链上追踪显示，dispatchIncoming函数提交伪造消息，TokenGateway.onAccept处理后执行changeAdmin。管理员权限入手，10亿枚代币瞬间到账。抛售分成多笔小额兑换，价格微降，避免一次性砸盘。Uniswap V4池深度有限，1亿枚代币就能压垮流动性，每枚桥接DOT仅换几分之一美分。攻击者本想大赚，却因池子仅能吸收少量卖单，利润卡在23.7万美元。ETH现报$2,188（24h -1.46%），这笔ETH价值刚好对得上。桥合约握有目标链代币的无限铸造权，一处验证失守就全盘皆输。Hyperbridge至今未发声，也没说其他桥接代币是否中招。
桥漏洞频发已成常态，今年已爆多个案例。上月Solana上Drift Protocol丢了2.7亿美元，这次Hyperbridge事件提醒开发者，跨链验证别留死角。流动性浅救了场，若池子深或资产贵重，损失轻松破亿。攻击者冒险铸亿级代币，却只捞25万美元，堪称赔本赚吆喝。行业老手早看透，桥是跨链软肋，总有聪明人钻空子。BTC现报$70,820（24h -1.29%），大盘微跌中，这事没搅动大局。安全公司呼吁，桥方赶紧审计所有合约路径，别等大出血才醒悟。