AG链的区块漏洞爆出来那天，我正好在翻它的链漏白皮书。项目方吹的区块是“量子级安全”，社区里一堆人跟着喊“下一代公链”。链漏结果呢？区块一个再普通不过的重入攻击，就把跨链桥上的链漏资金抽走了大半。这事发生在2023年6月，区块损失金额约760万美元。链漏

漏洞细节其实不复杂。区块AG链的链漏跨链合约在验证外部签名时，只检查了签名有效性，区块却漏掉了交易ID的链漏唯一性。攻击者构造一笔合法交易，区块让合约执行后返回一个“成功”状态，链漏但资金转移的区块日志根本没写进链上状态。他反复提交同一笔签名，合约每次都会放行，但余额扣减逻辑只在第一次触发。这就像你拿同一张电影票反复进场，检票员只看票是真的，不检查座位是否已被占用。

更让人火大的是项目方的反应。漏洞被白帽黑客报告后，团队花了48小时才发布暂停公告，期间链上交易照常运行。等他们终于把跨链桥冻结，攻击者早把资金混过Tornado Cash，换成renBTC跑路了。事后审计报告里写的是“内部代码审查流程存在疏漏”，但谁都知道，真正的问题是合约逻辑里那个蠢到家的状态变量——它压根没设防重入锁。

我特意去查了AG链的共识机制。它号称用的是“混合PoS+PBFT”，实际上节点只有21个，全是项目方早期投资人。这种中心化程度，漏洞被利用只是时间问题。你想想，以太坊上几千个节点互相监督，出问题还能靠社区投票硬分叉。AG链呢？21个节点里只要有两三个被贿赂，整个链的治理就瘫痪了。这次攻击恰好发生在节点轮换的间隙，新节点还没同步完交易历史，旧节点又恰好忽略了异常调用。

这件事给我最大的触动不是技术多烂，而是市场对“审计报告”的盲目信任。AG链上线前花了30万美元请两家知名审计公司做检查，报告里全是“通过”。但审计公司只查了单笔交易的逻辑，没模拟跨链场景下的并发调用。我见过太多项目方把审计报告当护身符，好像盖了章就永远不会出事。说句难听的，审计公司自己都未必看得懂那些嵌套合约的交互逻辑。

现在AG链的代币价格跌了90%，社区基本跑光了。但更值得警惕的是，这类漏洞在2024年仍然在别的链上重演——前阵子某条主打“AI安全”的公链，不也被人用同样的手法薅走了500万？技术圈总爱造新词，什么zkEVM、模块化区块链，但底层那些最基础的防御机制，比如检查-效果-交互模式，反而被当成“过时经验”抛在脑后。黑客可不管你的叙事多前沿，他们只关心你的代码有没有把该锁的门锁上。

(责任编辑：百科)