Wanchain Cardano 桥遭遇 13 万美元漏洞攻击

桥梁攻击导致515亿NIGHT代币被消耗

Wanchain连接Cardano和BNB Chain的桥接漏洞于2026年7月21日被利用，损失金额约为515.2亿。 夜晚 桥接金库中的代币被盗。被盗代币在攻击发生前的价值约为 13 万美元。CoinGecko 的数据显示，事件发生后，该代币的交易价格接近 0.0186 美元，这意味着 515 亿枚 NIGHT 代币按当前价格计算的价值约为 9 万至 10 万美元。

整个事件仅用了四笔交易，在短短八分钟内迅速完成。BlockSec Phalcon 追踪到攻击者的赎回者，发现其源自一笔合法的 BSC 交易，该交易仅授权了约 3,110 个 NIGHT 代币。攻击者随后在 Cardano 上重复使用相同的签名，利用原始哈希值拼接后的字段边界模糊性，窃取了超过 203 亿个 NIGHT 代币。攻击者将窃取的代币转移到 Cardano 上的一个主钱包，然后通过 DEX 兑换和 DeFi 协议迅速抛售了其中约 90% 的代币。

漏洞利用的根源在于验证器缺陷

BlockSec 的监控显示，此次攻击利用了 TreasuryCheck 验证器签名消息编码中的一个漏洞。该问题源于 14 个可变长度的赎回字段未经分隔符直接拼接，导致不同的字段组合可以生成相同的字节串，从而重复使用相同的哈希值和签名。BlockSec 通过分析链上 Plutus V2 字节码并解码攻击交易的赎回数据，确认了该漏洞。BlockSec 指出，如果使用 Sha3_256(SerialiseData(...)) 来提供清晰的 CBOR 编码字段边界，则可以避免此漏洞。

Wanchain 确认已注意到影响 Cardano BNB 链桥的事件，导致 Cardano 上的 NIGHT 代币从桥合约中被撤回。Wanchain 表示，在团队调查期间，该桥已离线。Midnight 则表示其核心网络保持安全，并称该事件仅限于桥基础设施。

NIGHT 是 Midnight 的原生治理代币，同时生成 DUST，DUST 是用于交易和智能合约执行的网络资源。Midnight 是一个注重隐私的 Cardano 合作链，采用双代币经济模型，并于 2026 年 3 月启动了主网。随着桥接事件报道的传播，NIGHT 价格大幅下跌，24 小时内跌幅超过 30%，跌至接近 0.016 美元的历史新低。

Wanchain 最初于 2025 年 12 月在 Cardano 和 BNB Chain 之间推出了 NIGHT 的跨链支持。最近发生的桥接事件再次引发了人们对原生资产通过第三方基础设施转移时所产生的风险的关注。

来源：
Crypto.news：Wanchain Cardano桥漏洞导致515亿资金夜间损失
CryptoTimes：Wanchain Cardano 桥被利用
Phemex新闻：Wanchain Cardano桥遭黑客攻击