8000 萬美元被盜。無人被追究責任。

2022 年 1 月 28 日，Qubit Finance 的跨鏈橋遭到攻擊。獲得 Binance 背書的 Mound Inc. 捲走了用戶 8000 萬美元的資金後沉默至今。四年過去了，一切毫無改變。

$80M一次攻擊中被盜

$0歸還給受害者

4 年Mound Inc. 的沉默

0人被追究責任

事件概述

事件經過

Qubit Finance 營運了一座連接 Ethereum 和 Binance Smart Chain 的跨鏈橋（QBridge）。2022 年 1 月 28 日，攻擊者發現呼叫 deposit() 而非 depositETH() 會觸發相同的鏈上事件 —— 但不需要實際存入任何 ETH。橋接中繼器僅監聽事件，因此在 BSC 上免費鑄造了 qXETH 代幣。攻擊者將這些代幣作為抵押品，掏空了 8000 萬美元。

三個因素促成了此次攻擊：橋接合約在安全審計尚未完成的情況下便已部署、一個合約參數在事發數天前被合約擁有者秘密修改（無時間鎖、無公告），以及一個已知的 EVM 行為 —— 對零地址呼叫任何函式會靜默成功 —— 從未被納入考量。

完整記錄

攻擊如何運作的逐步分析 —— 漏洞、攻擊手法，以及消失的 8000 萬美元。

事件經過 →

技術分析

deposit() 與 depositETH() 的事件碰撞、零地址 EOA 技巧，以及可疑的參數修改。

技術分析 →

時間線

從 1 月 28 日的攻擊事件到四年的沉默 —— 完整的時序記錄。

時間線 →

九個未解答的問題

為什麼團隊忽視擁有駭客資訊的人？為什麼部署未經審計的程式碼？為什麼技術長的 LinkedIn 被刪除？

證據 →

團隊回應

移除受害者的管理員、從 LinkedIn 消失的技術長、從未被聯繫的 Binance 安全團隊。

團隊回應 →

追蹤資金流向

駭客的錢包、與 Binance Hot Wallet 相關的 2000 萬美元沉默受害者、四年來追回資金的進展為零。

資金流向 →

公司背景

Mound Inc. —— 誰該負責

Qubit Finance 由 Mound Inc. 開發，該公司註冊於韓國大田市（登記編號：160111-0556766）。公司 90.5% 股份由 Krypton PTE. LTD.（新加坡）持有，而 Krypton 的 60% 股份由執行長 Jun Hur 持有。Mound Inc. 此前已在 2021 年 5 月的 PancakeBunny 駭客事件中損失約 4500 萬美元。他們建立了 Qubit Finance 試圖翻身 —— 結果又損失了 8000 萬美元。