資安公司 Blockaid 示警 WAX 多鏈跨鏈橋正遭攻擊，攻擊者 5 筆交易從 Solana 與以太坊端領走約 52,986 USDC、21,558 USDT 等資產。Blockaid 稱合約程式碼尚未變更，WAX 官方截至發稿未回應。
（前情提要：Symbiosis 跨鏈橋被搬 33 萬鎂！駭客拒退，白帽獎金轉線報賞）
（背景補充：9 月加密駭案狂飆 7.66 億鎂！Bitget、Liquid Network 雙案佔九成）
區塊鏈資安公司 Blockaid 於台北時間 10 月 22 日晚間 8 時 33 分在 X 發布警報，指 NFT 與遊戲公鏈 WAX 的多鏈跨鏈橋正遭攻擊。攻擊者在 WAX 端未實際支付代幣，卻讓 Solana 與以太坊端照常放款。
依 Blockaid 統計，5 筆交易共流出約 52,986 USDC、21,558 USDT、840 DAI、2.55 枚 WETH 與 0.11 枚 WBTC。光穩定幣部分合計就約 7.5 萬美元，整體規模不算大，但事件仍在進行中。
Blockaid 是為 Coinbase、MetaMask 等業者提供即時詐騙與攻擊偵測的資安公司，此次攻擊即由其偵測並對外示警。
WAX 端記帳出錯，另兩條鏈「照單放款」
跨鏈橋的運作邏輯，是在來源鏈鎖定或扣除資產，再於目標鏈釋出對應的「映射代幣」（跨鏈對應資產）。Blockaid 指出，問題出在 WAX 端代幣合約的提領檢查，讓攻擊者幾乎不用付出成本，跨鏈橋卻仍記錄為一筆完整提領。
Blockaid 在後續串文中強調，Solana 與以太坊端的放款流程本身是「誠實」執行的。換言之，兩條鏈只是依照 WAX 端的錯誤紀錄放行，漏洞並不在 Solana 或以太坊。
從 Blockaid 公布的時間軸來看，攻擊者先在 WAX 端完成提領操作，約 15 至 20 分鐘後，Solana 端便放出對應的 USDC，以太坊端隨後也釋出其餘資產。整個流程在一小時內完成。
程式碼未變更，漏洞仍可被利用
更令人擔憂的是，Blockaid 在攻擊流程說明中表示，相關程式碼尚未修改，漏洞「仍處於可利用狀態」。這代表跨鏈橋另一端的剩餘流動性，在修補前仍有風險。
截至發稿時（台北時間 10 月 22 日晚間 9 時），動區查閱 WAX 官方 X 帳號，尚未見任何事故公告、暫停跨鏈橋或損失確認的說明。
Blockaid 也提到，攻擊完成後帳面上仍有約 1,522 美元的差額，屬於跨鏈橋庫存與 WAX 端帳本之間的落差，實際影響範圍仍待官方清點確認。
此外，動區尚未查到 PeckShield、CertiK、SlowMist 等其他資安公司的獨立通報。上述損失數字目前僅來自 Blockaid 單一來源，尚未獲 WAX 官方證實。
跨鏈橋仍是駭客熱門目標
跨鏈橋因需在多條鏈之間同步帳本，任何一端驗證失誤，都可能讓另一端憑空放款。今年 9 月，Symbiosis 跨鏈橋才剛被搬走約 33 萬美元，6 月 Taiko 跨鏈橋也曾傳出損失。
據動區整理 PeckShield 與 CertiK 數據，9 月單月加密駭案損失高達 7.66 億美元，創今年最慘月份。相較之下，WAX 本次金額雖小，但「漏洞未修補」的狀態仍值得用戶警惕。
需要說明的是，本週稍早的 Railway 遭駭與 PHP 高危漏洞屬於 Web2 基礎設施事件，目前沒有證據顯示與 WAX 跨鏈橋攻擊有關。
對持有 WAX 跨鏈資產的用戶而言，在官方發布說明前，暫緩透過該跨鏈橋轉移資產是較穩妥的做法。WAX 將如何修補漏洞、是否補償損失，以及攻擊是否持續擴大，仍有待官方正式回應。
📍相關報導📍
Taiko 跨鏈橋中計：L2 停產區塊後，Taiko 官方宣告風險已控制、損失約 170 萬美元
Magic Eden 舊授權合約遭駭，白帽連夜救回 2.3 萬枚稀有 NFT、660 枚 WETH 晚了一步
