波卡的 Hyperbridge 被攻击了……但 Hyperbridge 是啥？

波卡在无人关注的角落进行着艰难的转型，但出师不利。

撰文：Eric，Foresight News

北京时间 4 月 13 日午间，Peckshield 监测到以太坊上凭空出现了 10 亿枚 DOT 并被铸造者快速抛售。在攻击事件发生后的约 3 小时，Hyperbridge 官方才在 X 上表示已暂停跨链功能。

晚间，Hyperbridge 发布了声明，称漏洞根源在于 HandlerV1 合约 VerifyProof() 函数缺少输入验证，未对 leaf_index < leafCount 进行校验，导致攻击者可伪造 Merkle 证明。攻击者借此获得以太坊上桥接 DOT 代币合约的管理员权限，随即增发 10 亿枚 DOT（为合法流通量约 35.6 万枚的 2800 余倍），并在 DEX 套现。

万幸的是，因为以太坊上跨链版本的 DOT 流动性有限，黑客虽然铸造了名义价值超 10 亿美元的 DOT，但只通过 Uniswap V4 兑换出约 108.2 枚以太坊，价值约 23.7 万美元。

至于攻击的原因，简单点说就是这个跨链桥在验证跨链消息时，只验证证明而没有核对证明和跨链消息之间的关系。

假设我想从 Polkadot 网络向以太坊跨链 10 枚 DOT，我的发出的消息是跨链 10 枚 DOT，生成的证明也是「跨链 10 枚 DOT」这个消息生成的证明。但黑客用的是「跨链 10 枚 DOT」的证明，消息却是「修改跨链 DOT 代币的管理员权限」，漏洞就在于合约并没有验证二者的对应关系。

在获取到了权限后，黑客自己铸造了 10 亿枚跨链版本 DOT 并全数卖出。但事实上这是黑客的第二轮攻击，据链上分析师 Specter 监测，在凭空铸造 10 亿枚 DOT 前的一个小时，黑客还通过 TokenGateway 合约漏洞盗取了 245 枚以太坊（价值约 53.7 万美元），后迅速分散赃款并存入 Tornado Cash。

有意思的是，Hyperbridge 在愚人节当天还发布了自己被攻击的玩笑（现在原推已经被删除），现在看来可以说是一语成谶。

一次「无人关注」的转型

事件发生后，相信很多人最疑惑的点并非是事件本身，而是波卡什么时候有了 Hyperbridge。

平心而论，Hyperbridge 可以说是波卡整体转型中的重要一环，旨在将波卡的价值扩展至多链。Hyperbridge 由 Polytope Labs 推出，团队有丰富的以太坊、波卡、Cosmos 开发经验，其联创 Seun Lanlege 是一名曾在 Parity 工作且深度参与了波卡早期架构设计的开发者。Hyperbridge 也是该公司的旗舰产品。

Hyperbridge 于 2024 年 11 月 7 日上线主网，作为一条波卡平行链获得了波卡官方的大力支持。Hyperbridge 主打的是「去中心化桥」理念，其利用零知识证明和波卡的共识机制来证明跨链消息的合法和正确性，将安全性嫁接在 Polkadot 共识之上。

波卡和 Hyperbridge 本身用了很大的力气去宣传这条将链作为消息传递安全中枢的跨链桥，认为相对于大多数跨链方案，Hyperbridge 的安全性设计几乎是「无懈可击」。2025 年 4 月，波卡将 Hyperbridge 确立为原生互操作性层，称其通过 ZKP 将多条消息打包验证的机制为用户总计节省了 16.9 万亿 Gas（Hyperbridge 并非只服务于波卡生态）。

虽然桥本身「无懈可击」，但在以太坊端却犯了一个不大不小的错误。这让之前宣传的安全以及愚人节自信过头的玩笑在现在看来非常的滑稽。此外，Hyperbridge 在 2025 年 9 月发行了总量 10 亿枚的代币 BRIDGE，CoinGecko 数据显示该代币价格目前仅为 0.006 美元左右，流动市值不足 90 万美元，FDV 也仅有 600 万美元左右。

BRIDGE 的交易量之小，以至于根本没有 K 线图。在昨日跨链桥被攻击的消息传出后，也鲜有对其代币价格的报道，可见 Hyperbridge 可能仅仅在波卡生态内部有一定的知名度，如果不是被攻击，可能大多数人都不知道有这么个跨链协议。

Hyperbridge 是波卡转型的一个缩影。从 2024 年开始，波卡经历了一轮可以说是颠覆性地调整，至于为什么几乎没人提起这件事，可能大家已经对波卡彻底失望从而不再关注，但即使是有所关注，你也会发现他们的思路似乎还是停留在了 5 年前的那个夏天。

最大的改变是取消了平行链竞拍。在 2021 年末，波卡的前几轮平行链竞拍获得了几乎全行业的关注，各个平行链项目也是拿出了浑身解数来赢得投资者手中的 DOT，DOT 的价格也在彼时达到了顶峰。

或许是时机不凑巧，在那儿之后加密货币市场进入了长达一年的熊市，竞拍逐渐变得名存实亡。对用户来说，在平行链使用插槽期间 DOT 一直被锁定；对项目方来说不仅要承担竞拍带来的一次性成本，也要承担租赁期的额外成本，门槛太高。据此，波卡将竞拍改为了租赁模式，任何平行链都可以按需购买「Coretime」，就像租用云服务一样随时取用，随时取消，降低了门槛也提高了资源的利用率。

平行链也可以租用多个「Core」来进行动态扩容，以应对高负载场景。此外，波卡通过 Asynchronous Backing（异步备份）机制使得块生产和验证可以并行处理，不再严格同步等待，缩短了出块时间，提高了吞吐量。

用波卡自己的话说，这些机制上的改动让波卡不再限于 50 个槽位的网络，而是资源市场化、可弹性扩展的平台，更适合 Rollup、应用链等需求。

代币经济模型上，DOT 将过去的无限增发改为了 21 亿枚的硬上限，并逐年降低通胀率，预计将在 2160 年左右全部释放。至于协议收入方面则是引入了 Dynamic Allocation Pool（DAP，动态分配池），交易费、Coretime 销售收入、罚没资金等不再简单烧毁或固定分配，而是进入共享池动态用于网络预算、激励等。

Gavin Wood 重回波卡之后，提出了下一代协议架构 JAM（Join-Accumulate Machine），目标是把波卡变成真正的可编程超级计算机，支持更复杂应用直接在核心层运行（不止平行链），并兼容除 WASM 外的更多执行环境。如果说以上种种算是波卡 2.0，那么 JAM 则可以说是终极的「波卡 3.0」。

治理上，波卡将 Web3 基金会和 Parity 的权力进一步下放，推出了 OpenGov，任何 DOT 持有者都可以在 OpenGov 上提出提案，所有人公开进行投票。前两年 PolkaWorld 公开表示因波卡不再给予资金支持而暂停运营，正是 OpenGov 推出后，很多 DOT 持有者并不了解中文区的情况，认为 PolkaWorld 的存在没有意义，给拨款提案投了反对票所致。

即使有这么多的动作，也确实进行了彻头彻尾的自我更新，但市场依旧不买波卡的账。正如笔者所说，2021 年和现在的 Web3 市场有着天壤之别，但波卡似乎还在用当年的逻辑来行事。很多平行链项目方离开的主因并非是市场环境，而是波卡本身在交付、治理等方面的不负责任。

一个想法很好，也可以实现的愿景，因为团队的一再拖延而错过了最佳的时机。后续波卡团队各项能力的不足在熊市暴露无遗，2024 年上半年波卡财库支出高达 8700 万美元，市场连水花都没有看到，实在是令人大跌眼镜。

能力不足，管理混乱，运气也不好，已经失了人心的波卡已经很难再回到当年的巅峰了。当然，市场也不乏波卡的坚定支持者，也包括 Gavin Wood 自己。笔者去年曾问过 Gavin 如何看待市场中对你和波卡的负面评价，他的回答是：我没有时间理会那些声音，因为我再让波卡变得更好。

虽然笔者对所有 Web3 项目都抱有一视同仁的态度，也并不想简单去判一个「老项目」的死刑，但在 Web3 行业中，一旦信任被打破，就很难再重塑了。