CrossCurve Bridge Exploit Drains About $3M, Rekindling Cross-Chain Risk

ccn.comDipublikasikan tanggal 2026-02-02Terakhir diperbarui pada 2026-02-02

Abstrak

Cross-chain liquidity protocol CrossCurve suffered an exploit on February 2, with estimated losses around $3 million across multiple networks. The attack involved a spoofed cross-chain message that bypassed validation, allowing the attacker to trigger unauthorized token unlocks on the destination chain. The protocol urged users to pause interactions and launched an investigation. CEO Boris Povar later published ten Ethereum addresses linked to the stolen funds, offering a 10% bounty for their return within 72 hours and threatening legal action. The incident highlights persistent vulnerabilities in cross-chain bridges, where security often conflicts with user demand for speed. Verification failures and assumptions in smart contract logic remain critical risks, as a single flaw can lead to multi-network exploits.

Key Takeaways

CrossCurve said its bridge was “under attack” on Feb. 2 and told users to pause interactions.
Defimon Alerts, linked to Decurity, estimated losses around $3 million across “several networks.”
Early reporting and security posts described a spoofed cross-chain message that bypassed validation and triggered token unlocks on the destination chain.

Cross-chain liquidity protocol CrossCurve said its bridge was exploited on Feb. 2, with security monitors estimating roughly $3 million in losses across multiple networks.

The protocol urged users to pause interactions while it investigated.

Later, CEO Boris Povar published ten Ethereum addresses he said received funds and offered a bounty of up to 10% if the assets were returned within 72 hours, warning the project would pursue legal action if no contact was made.

Try Our Recommended Crypto Exchanges

Bitget

promotions

New user rewards up to 6,200 USDT.

Coins

Claim Offer

Bitunix

promotions

Receive up to $100,000 worth of exclusive gifts for newcomers upon registration.

Coins

Claim Offer

BTCC

promotions

Get up to 10,055 USDT when you register, verify, and make the first deposit and the first trades.

Coins

Claim Offer

Explore All Offers

CrossCurve Attack Timeline

CrossCurve said on Feb. 2 that its bridge was “under attack,” involving exploitation of a vulnerability in one of the smart contracts used in its cross-chain system.

The exploit allowed an attacker to spoof a message to bypass validation and unlock tokens.

One quoted description said an attacker could call an “express” execution path on a receiver contract using a forged cross-chain message, then trigger an unlock on a portal contract.

CrossCurve has not published a full post-mortem or confirmed a final loss figure. Separate estimates clustered around $3 million.

In a follow-up post, Povar said the team identified ten Ethereum addresses tied to received funds and set a 72-hour window to return assets or make contact before escalation.

He said the project was prepared to pursue civil and criminal remedies and coordinate with industry partners to freeze assets.

CrossCurve did not immediately respond to a request for comment on the specific bug, the final loss amount, or a timeline for reopening.

A separate warning came from Curve Finance, which said users allocated to CrossCurve pools “may wish to review their positions” and consider removing votes, urging “risk-aware decisions” when interacting with third parties.

Why Spoofed Messages and Validation Assumptions Keep Winning

Bridge exploits often look like “just a smart contract bug.” The deeper pattern is verification failure.

A bridge is a promise: release assets on Chain B because something real happened on Chain A. The hard part is proving that “something real” without trusting an attacker’s message.

In general message passing, the destination contract is supposed to verify that a call was approved by the validator set by checking with the gateway (for example, via a validation function) before executing.

If a receiver contract accepts an alternate path that skips or weakens that check, a forged message can become a payout.

That’s why the “receiver side” matters as much as the messaging layer.

A protocol can route messages through reputable infrastructure and still lose funds if its own destination contract implements permissive logic, unsafe fast paths, or incorrect assumptions about upstream guarantees.

CrossCurve’s own documentation frames cross-chain risk as a “black swan” category and describes a design goal of routing through multiple independent validation protocols (“Consensus Bridge”) to reduce single points of failure.

But even multi-path designs can be undermined by a weak integration contract at the edge.

The Uncomfortable Truth: Bridge UX Wants Speed, Security Wants Paranoia

Users want bridging to feel instant: fewer clicks, less waiting, faster finality.

Security wants the opposite: more confirmations, tighter limits, and “do nothing unless you’re sure.”

Some cross-chain stacks explicitly offer speed features like “express” execution, where off-chain actors can accelerate delivery of an intended outcome.

The trade-off is that fast paths demand extra care in how authenticity is enforced, because the system is trying to move before the slowest proofs arrive.

This tension is why bridge hacks stay evergreen. Bridges concentrate liquidity, and a single verification bypass can unlock assets across multiple networks in one run.

What To Watch Next

CrossCurve has not yet released a full incident report. In most bridge incidents, the next signals that matter are:

Whether contracts remain paused and what code changes ship before any restart.
Whether the attacker returns funds, often in exchange for a bounty.
Whether stablecoin issuers, exchanges, or analytics firms flag and freeze related addresses.
Whether independent security teams publish a corroborated root-cause analysis.

For now, the takeaway is familiar and still useful: cross-chain bridges remain one of crypto’s most repeatable failure points, because “truth across chains” is a hard engineering problem with real money behind every assumption.

This is a developing story and will be updated.

Recommended Secure Partners

Safest Exchanges Best Safest (Most Secure) Crypto Exchanges? Check Out These Exchanges
Secure Crypto Wallets Crypto Wallets Reviews and Ranked
Bet Anonymously Check Out Our Recommended No KYC Casinos

Pertanyaan Terkait

QWhat was the estimated financial loss from the CrossCurve bridge exploit?

AThe estimated financial loss from the CrossCurve bridge exploit was approximately $3 million across several networks.

QWhat was the technical cause of the CrossCurve exploit as described in early reports?

AThe exploit was caused by a spoofed cross-chain message that bypassed validation, which then triggered unauthorized token unlocks on the destination chain.

QWhat action did CrossCurve's CEO take in response to the attack?

ACrossCurve's CEO, Boris Povar, published ten Ethereum addresses that received the funds and offered a bounty of up to 10% if the assets were returned within 72 hours, warning of legal action if no contact was made.

QAccording to the article, what is the fundamental tension that makes bridge exploits a recurring problem?

AThe fundamental tension is that users want bridging to be fast and instant, while security requires more confirmations, tighter limits, and cautious verification, creating a conflict between user experience and security paranoia.

QWhat general warning did Curve Finance issue in relation to this incident?

ACurve Finance warned users allocated to CrossCurve pools to review their positions and consider removing votes, urging them to make 'risk-aware decisions' when interacting with third parties.

Bacaan Terkait

Perubahan Struktural Apa Saja yang Terjadi di Industri Kripto pada Tahun 2026?

Seiring memasuki tahun 2026, industri kripto global mengalami perubahan struktural signifikan yang semakin mengintegrasikannya ke dalam sistem ekonomi nyata. Analisis dari perspektif kepatuhan perpajakan dan keuangan mengidentifikasi empat perubahan utama. Pertama, stablecoin berkembang melampaui ekosistem kripto, menjadi alat penyelesaian pembayaran dunia nyata dan B2B, meski sebagian besar aktivitasnya masih berpusat pada perdagangan aset digital. Hal ini memperpanjang rantai bisnis dan memerlukan pendekatan holistik terhadap akuntansi dan kewajiban pajak. Kedua, kerangka regulasi global seperti MiCA UE mulai berlaku penuh, mengubah batas operasi bisnis. Perizinan kini menentukan kelangsungan layanan, dengan pengawasan beralih ke tingkat entitas spesifik. Aturan anti-pencucian uang, seperti Travel Rule, juga semakin ditegakkan dengan fokus pada eksekusi dan tantangan lintas batas. Ketiga, agen AI muncul sebagai subjek transaksi baru, menggunakan stablecoin untuk pembayaran mesin-ke-mesin yang otomatis, frekuensi tinggi, dan bernilai kecil. Perkembangan ini menuntut peninjauan ulang terkait otorisasi transaksi, atribusi pajak, dan bukti audit. Keempat, transparansi perpajakan memasuki fase implementasi melalui inisiatif seperti CARF OECD, DAC8 UE, dan Formulir 1099-DA AS. Platform kini memiliki tanggung jawab langsung untuk mengumpulkan dan melaporkan data transaksi pengguna kepada otoritas pajak, menyoroti kesenjangan antara data on-chain dan data yang dibutuhkan untuk kepatuhan pajak. Secara keseluruhan, kepatuhan dalam industri kripto berkembang dari sekadar kewajiban menjadi infrastruktur penting. Membangun sistem data dan kontrol yang konsisten di seluruh operasi—mulai dari klien, transaksi, hingga pelaporan—adalah prasyarat fundamental untuk operasi bisnis yang berkelanjutan di tengah lanskap regulasi dan perpajakan yang semakin kompleks.

marsbit6m yang lalu

Perubahan Struktural Apa Saja yang Terjadi di Industri Kripto pada Tahun 2026?

marsbit6m yang lalu

Coldcard Keluarkan Peringatan Mk3 Saat Pakar Selidiki Pencurian Dompet Bitcoin Senilai $38 Juta

Produsen perangkat keras Bitcoin asal Kanada, Coinkite, telah memperingatkan pengguna perangkat penandatanganan Coldcard Mk3 untuk memindahkan dana dari dompet yang frasa benihnya dibuat pada firmware yang terdampak. Peringatan ini muncul saat para pakar keamanan Bitcoin menyelidiki penyapuan dana senilai 594,48 BTC (sekitar $38,3 juta) dari alamat tanda tangan tunggal, meski belum ada bukti pasti yang menghubungkannya dengan masalah Mk3. Coinkite menyarankan pengguna yang terdampak—yaitu mereka yang membuat frasa benih pada Mk3 dengan firmware versi 4.0.1 hingga 5.0.3—untuk segera membuat benih baru di perangkat yang tidak terdampak, lalu memindahkan dananya. Analisis awal perusahaan menunjukkan benih yang digunakan dengan sandi BIP-39 menghadapi risiko minimal. Para ahli menduga penyapuan dana besar ini mungkin disebabkan oleh generator angka acak yang lemah (entropi rendah) selama pembuatan benih dompet, yang memungkinkan penyerang memboboti dompet yang rentan. Mereka juga memperingatkan bahwa dompet yang hanya sebagian dananya diambil mungkin masih berisiko, dan penyerang berpotensi memperluas targetnya ke jenis alamat lainnya. Investigasi teknis formal masih berlangsung.

cointelegraph10m yang lalu

Coldcard Keluarkan Peringatan Mk3 Saat Pakar Selidiki Pencurian Dompet Bitcoin Senilai $38 Juta

cointelegraph10m yang lalu

Altseason berikutnya di crypto mungkin memiliki lebih sedikit pemenang: Wintermute

Menurut laporan aliran OTC Wintermute untuk paruh pertama 2026, musim altcoin (altseason) berikutnya di pasar kripto mungkin akan memiliki lebih sedikit pemenang. Aktivitas investor institusional semakin terkonsentrasi pada kelompok aset digital yang lebih sempit, menyumbang 72% dari aliran spot di meja OTC Wintermute—angka tertinggi yang tercatat. Likuiditas pun terkumpul pada aset-aset yang disukai institusi, sementara aktivitas di aset "ekor panjang" melemah. Data menunjukkan jumlah token unik yang diperdagangkan oleh klien institusi hanya tumbuh 24% (dibandingkan 76% untuk ritel) antara paruh pertama 2024 dan 2026, dan aktivitas institusi memudar lebih cepat setelah lonjakan harga. Temuan ini sejalan dengan tren konsentrasi kapital yang lebih luas, di mana volume perdagangan altcoin terpusat pada aset-aset terbesar, dan rotasi modal dari Bitcoin ke altcoin yang lebih kecil telah melemah secara signifikan.

cointelegraph11m yang lalu

Altseason berikutnya di crypto mungkin memiliki lebih sedikit pemenang: Wintermute

cointelegraph11m yang lalu

Bhutan's Gelephu Tunjuk 3iQ untuk Mengelola Sebagian dari Perbendaharaan Bitcoin-nya

Kota Perhatian Gelephu (GMC) di Bhutan telah menunjuk pengelola aset digital Kanada, 3iQ, untuk mengelola sebagian dari cadangan Bitcoin negara itu. Mandat ini bertujuan mendukung pengembangan GMC sebagai pusat investasi aset digital. Sebagai bagian dari kemitraan, 3iQ akan membangun kehadiran jangka panjang di kota itu, berinvestasi dalam talenta lokal, serta memberikan pelatihan dan alih pengetahuan. Pada Desember 2025, Bhutan mengumumkan akan mengalokasikan hingga 10.000 Bitcoin dari cadangan nasional untuk mendanai GMC. Meski jumlah pasti yang dikelola, pengaturan penitipan, dan strategi investasi rincian belum diungkap, CEO 3iQ menyatakan akan menerapkan disiplin kelembagaan untuk mengelola modal Bhutan secara bertanggung jawab, transparan, dan berjangka panjang. GMC berupaya menjadi pusat keuangan lepas pantai digital yang berfokus pada inovasi, keberlanjutan, dan manajemen aset kelembagaan.

cointelegraph12m yang lalu

Bhutan's Gelephu Tunjuk 3iQ untuk Mengelola Sebagian dari Perbendaharaan Bitcoin-nya

cointelegraph12m yang lalu

Circle Menerima Piagam Perwalian New York untuk Anak Perusahaan

Circle mengumumkan bahwa anak perusahaannya, Circle Internet Trust Company LLC, telah menerima piagam kepercayaan terbatas dari Departemen Layanan Keuangan New York (NYDFS). Piagam ini, berdasarkan Hukum Perbankan New York, ditujukan untuk lembaga yang tidak menerima deposit atau memberikan pinjaman layaknya bank tradisional, tetapi dapat memberikan layanan fidusia seperti kustodian, manajemen investasi, dan aktivitas terkait mata uang virtual. CEO Jeremy Allaire menyebut perolehan piagam New York ini sebagai tujuan jangka panjang untuk kejelasan regulasi. Circle, penerima pertama BitLicense NYDFS pada 2015, adalah penerbit stablecoin USDC yang dipatok dolar AS dengan kapitalisasi pasar $71,8 miliar, menjadikannya stablecoin terbesar kedua dan aset kripto terbesar kelima.

cointelegraph13m yang lalu

Circle Menerima Piagam Perwalian New York untuk Anak Perusahaan

cointelegraph13m yang lalu

Trading

Spot

CrossCurve Bridge Exploit Drains About $3M, Rekindling Cross-Chain Risk

Abstrak

Bitget

Bitunix

BTCC

CrossCurve Attack Timeline

Why Spoofed Messages and Validation Assumptions Keep Winning

The Uncomfortable Truth: Bridge UX Wants Speed, Security Wants Paranoia

What To Watch Next

Pertanyaan Terkait

Bacaan Terkait

Perubahan Struktural Apa Saja yang Terjadi di Industri Kripto pada Tahun 2026?

Coldcard Keluarkan Peringatan Mk3 Saat Pakar Selidiki Pencurian Dompet Bitcoin Senilai $38 Juta

Altseason berikutnya di crypto mungkin memiliki lebih sedikit pemenang: Wintermute

Bhutan's Gelephu Tunjuk 3iQ untuk Mengelola Sebagian dari Perbendaharaan Bitcoin-nya

Circle Menerima Piagam Perwalian New York untuk Anak Perusahaan

Trading

Kategori Populer

Tag Populer