Allbridge 遭伪造 CCTP 消息攻击损失约 19 万美元

慢雾披露 Allbridge 因缺失关键校验，被利用伪造跨链消息与闪电贷盗取约 19 万美元。

据 Woofun AI 消息，慢雾安全团队披露跨链桥 Allbridge 于 2026 年 8 月 19 日遭遇攻击，损失约 19 万美元。攻击者早在 7 月 26 日便在 Polygon 链上构造伪装成 CCTP 风格的跨链消息，声称存在 100 万枚 USDC 转账但未实际销毁资产，并获取了有效验证证明。

8 月 19 日，攻击者等待 Base Router 余额增加至约 19.1 万 USDC 后发起攻击。利用此前伪造的消息调用 Allbridge 的 receiveCctpMessage 函数，因项目缺少对发送方、接收方身份及资产实际铸造情况的校验，系统误认虚假消息为真实存款。攻击者随后通过 Aave 闪电贷借入约 80.9 万 USDC 匹配余额，最终转出约 99.9 万 USDC，扣除费用后净获利约 18.98 万美元。