跨鏈橋 Across 11 月 10 日緊急公告，要求使用者停止開啟 App、不要連線錢包或簽署授權，團隊正在調查一起可能與網域有關的資安事件；社群已有多名使用者回報錢包被盜，官方正逐一索取交易細節。
（前情提要：$ACX 噴漲 80%！Across Protocol 擬將 DAO 改組實體公司，代幣可 1:1 換股權或溢價贖回）
（背景補充：Verus 以太坊跨鏈橋遭攻擊！Blockaid 監測：損失逾 1,158 萬美元）
跨鏈橋協議 Across Protocol 在 11 月 10 日透過 X 發出公告，要求使用者在調查期間不要開啟自家應用程式、不要連線錢包，也不要簽署任何交易或授權，直到另行通知為止。這是事件曝光後官方發布的第一份說明，貼文沒有交代事件性質，也沒有確認網站是否已遭入侵。
Across 是一條讓使用者把資產在以太坊與其他區塊鏈之間搬移的跨鏈橋，團隊在官方公告中僅表示正在調查「潛在的資安事件」，並承諾持續更新進度。對仍掛著 Across 授權的使用者來說，官方目前給出的指引只有一條：先不要動。
🚨 ALERT 🚨
We're currently investigating an issue with the Across domain. Do NOT visit the app, connect your wallet, or sign any transaction or approval there until further notice.
We will post updates as we have them.
— Across (@AcrossProtocol) November 10, 2026
社群端的災情回報比官方說明來得更快。一名使用者表示操作後損失約 9,000 美元等值的 USDC；另一名使用者回報，在 Plasma 鏈上以七筆交易合計轉出 7,053 顆 USDT0，等於把錢包中的穩定幣餘額一次清空。第三名使用者則指出，自己在多次使用該橋之後錢包被搬空，並直指網站已遭入侵。Across 對這些回報的回應，是逐一索取交易雜湊以追查資金流向。
上述損失目前都只有使用者單方面說法，未經獨立驗證，Across 也未在截稿前回覆細節詢問。不過，本刊在截稿前實際解析 across.to 與 status.across.to 兩個網域，兩者都回報無法解析（No address associated with hostname），與團隊所稱「網域出問題」的方向一致。這代表問題可能出在 DNS 或網域註冊層級，而非鏈上合約被直接攻破；確切原因仍待官方鑑識結果說明。
一次授權，為何能搬空整個錢包
對跨鏈橋使用者來說，最危險的動作往往不是轉帳，而是「授權」。使用者在前端按下確認的那一刻，真正發生的事是把某個代幣的動用許可權交給一組合約地址。網站若在這一刻被替換成攻擊者控制的版本，錢包彈出的簽名視窗與平常並沒有兩樣，使用者很難從介面看出自己簽下的是把轉帳許可權整包交出去。
這類被稱為錢包盜取器（drainer）的手法，既不需要私鑰，也不需要破解錢包本身，只要騙到一次授權，就能在之後任何時間把資產掃走。11 月 5 日才曝光、由 GoPlus 示警的 iOS 自管錢包連環盜領事件，安全聯盟 SEAL 統計損失約 56.1 萬美元，走的就是同一條路徑。對使用者而言，事後補救的順序很明確：先檢視近期簽下的授權、撤銷不認得的合約，之後只從官方驗證過的入口進入。
跨鏈橋的老問題，這次換了入口
跨鏈橋過去幾年的重大損失，幾乎都發生在合約層。Ronin 跨鏈橋在 2022 年被攻破，寫下 DeFi 史上最大竊案之一，而該協議後續仍再度出包；今年 5 月 Verus 以太坊跨鏈橋遭攻擊，Blockaid 監測損失超過 1,158 萬美元。合約被攻破至少留下鏈上軌跡，也讓審計與多簽機制有明確的補強方向。
若這次真是前端或網域出事，攻擊面就從智慧合約移到「使用者開啟的那個網頁」。對橋方來說，網域註冊商、DNS 供應商、CDN 與前端部署鏈全部成了必須納管的風險，而這些環節過去很少被寫進智慧合約審計的範圍。Vercel 今年遭駭、連帶讓加密開發者急換 API Key 的事件，就是同一條供應鏈上的警訊。
對 Across 本身，時機並不好。該協議先前才提出把 DAO 改組為實體公司、讓代幣可 1:1 換股權或溢價贖回的構想，正準備把治理結構往機構市場靠攏；此刻若證實是網域或前端失守，投資人對其營運紀律的疑問，會比技術問題更難回答。跨鏈橋的價值建立在「把資產交給它幾分鐘」的信任上，而信任一旦需要靠鑑識報告修補，恢復期往往以季為單位。
後續觀察
接下來要盯的有四件事：官方鑑識報告是否確認 DNS 劫持或網域商層級的變更、鏈上實際損失總額是否超過目前使用者口述的數字、是否有其他 DeFi 前端在同一時段中招，以及 Across 會不會暫停橋接合約止血。在官方給出結論前，「不要開、不要連、不要簽」仍是唯一安全的操作。
📍相關報導📍
Vercel 遭駭、加密開發者急換 API Key：AI 工具 Context.ai 成破口，Web3 前端供應鏈拉警報
