2026年6月（具体日期未披露）早期试探
早期桥接试探未成功
官方复盘追溯到6月连续四天的桥接试探；交易均被拒绝、没有资金损失，且当时与日常失败交易无明显差异。官方无法确认这些试探是否来自同一攻击者。
Demex Bridge 黑客事件事件 · 归零档案
2026年Demex跨链桥注册表被操纵，约19.19万美元ETH和BNB储备被盗
2026年9月25日，攻击者利用 Demex 跨链桥两侧系统相互信任、缺少独立校验的缺陷，伪造 nLEND 与以太坊 WETH、BNB Chain WBNB 的注册映射。攻击者此前约花费60美元购入95 nLEND；实际提款时扣除87.27 nLEND，当时估值约10美元，但释放了64.78 WETH与22.49 WBNB，合计约191,929美元。首次提款52分钟后，团队执行紧急停链。10月13日，Demex 宣布不再重启平台，将核对用户资产与跨链桥储备、补足约19.2万美元缺口，并安排用户结算与提款。
暴雷时间线
接口实时同步漏洞利用2026-09-25跨链桥注册关系被伪造并导致储备损失
紧急停链52分钟内首次提款后52分钟内完成停链
2026-09-25 13:03 UTC攻击准备
购入 nLEND 并部署辅助合约
攻击者约花费60美元在Demex订单簿购入95 nLEND，在以太坊部署辅助合约，并先后四次尝试让代币部署结果回传Demex，均告失败。
2026-09-25 18:22 UTC失败尝试
直接注册请求被拒绝
攻击者尝试直接提交nLEND与WETH的注册映射，但因请求未获授权而被系统按设计拒绝。
2026-09-25 18:29 UTC漏洞触发
第五次尝试伪造桥接注册映射
攻击者改用通用execute流程触发原生代币部署，通过辅助合约伪造部署报告，将以太坊canonical WETH错误登记为nLEND对应合约；桥两侧系统因相互信任而接受该报告。
2026-09-25 19:09 UTC资金转出
以太坊网关64.78 WETH被提取
攻击者使用伪造映射提走以太坊网关全部64.78 WETH，约值174,495美元。提款限额错误地按扣除的nLEND估值，而非实际释放的WETH估值。
被盗金额约$191,929提取WETH64.78 WETH提取WBNB22.49 WBNB
2026-09-25 19:12 UTC风险发现
异常活动告警触发
首次提款约3分钟后，异常活动告警触发；社区成员也在攻击发生后数分钟内报告了可疑交易，加快了应急响应。
2026-09-25（具体时刻未披露）资金转出
BNB Chain 22.49 WBNB被提取
攻击者在BNB Chain重复同一流程，从首次请求到支出仅用4分钟，提走22.49 WBNB，约值17,434美元；随后BNB被跨链转至以太坊。
2026-09-25 19:47 UTC紧急止损
多签紧急停链并阻断Base尝试
攻击者已排队在Base重复攻击流程，但管理员多签完成紧急停链并阻断该尝试。停链发生在首次提款52分钟后、确认攻击37分钟内，保护了约976,000美元剩余桥储备。
受保护储备约$976,000
2026-09-29官方复盘
官方发布事件复盘
Demex公开漏洞根因、攻击时间线和防御缺口，并表示将核对用户资产与各链桥储备、检查其他风险并评估修复及资金补偿。
2026-10-13停止运营
宣布停止运营并安排提款
Demex宣布不再重启平台，将补足约19.2万美元漏洞缺口，按停链时余额和价格结算账户，并计划10月底上线提款页，随后设置30天复核期和90天提款期。
链上证据
暂无数据
损失分布与影响范围
被盗价值约 19.19 万美元已确认的桥储备损失
WETH 损失64.78 WETH从桥储备中提走
WBNB 损失22.49 WBNB从桥储备中提走
受保护储备约 97.6 万美元紧急暂停后未继续外流
攻击准备购币成本约60美元攻击者购入95 nLEND的成本，不等同于提款时扣除代币的估值
提款时扣除代币估值87.27 nLEND，约10美元这是提款限额校验采用的估值，不代表攻击总成本
攻击者约花费60美元购入95 nLEND；提款时系统扣除87.27 nLEND、当时估值约10美元，却释放64.78 WETH和22.49 WBNB，造成约191,929美元桥储备损失。首次提款52分钟后紧急停链。10月13日，Demex 宣布停止运营，将核对用户资产与跨链桥储备、补足约19.2万美元缺口并安排用户结算与提款。
社区情绪反转
2026-09-25 至 2026-10-13社区发现异常提款漏洞暴露，安全警报迅速上升
桥接紧急暂停剩余储备被保护，但信任转为质疑
官方复盘与补救评估关注点转向赔付、修复与防复发
平台宣布停止运营关注点转向余额结算、缺口补足和提款窗口
情绪从漏洞暴露后的警报与跨链桥信任质疑，转向补偿与修复预期；10月13日平台宣布不再重启后，讨论再次转向停止运营、账户结算和限期提款。
2026-09-29 Demex 团队 (项目官方)：团队承认事件损害了社区信任，并表示正在评估补救方案和长期安全改进。
2026-10-13 Demex 团队 (项目官方)：团队宣布不再重启 Demex，将补足约19.2万美元漏洞缺口，并按停链时余额与价格安排账户结算和提款。
法律进展
暂无数据
教训与启示
1跨系统信任边界必须独立校验
跨链注册表或资产映射发生变化时，接收端不能仅信任上游标识；必须重新验证源链、目标链、资产地址与精度。 重点：资产映射不是安全证明
2提款限额应按实际释放资产计价
限额校验必须基于用户最终收到的资产及实时价值，而不是仅依据被扣除的中间代币数量。 重点：校验对象必须与实际损失对象一致
3持续监控注册表与储备异常
对资产注册、路由配置、储备余额和短时大额提款建立独立告警，避免单点配置错误演变为资金损失。 重点：配置变更也应视为高风险操作
4保留可审计的紧急止损能力
多签暂停和分链隔离可在攻击进行时限制扩散，但触发条件、权限和恢复流程必须透明且经过演练。 重点：快速暂停减少了后续储备外流
本节基于已公开的技术根因与处置过程，提炼可验证、可执行的安全改进项。
评论
暂无评论