CrossCurve Bridge Exploit Drains About $3M, Rekindling Cross-Chain Risk

ccn.comОпубликовано 2026-02-02Обновлено 2026-02-02

Введение

Cross-chain liquidity protocol CrossCurve suffered an exploit on February 2, with estimated losses around $3 million across multiple networks. The attack involved a spoofed cross-chain message that bypassed validation, allowing the attacker to trigger unauthorized token unlocks on the destination chain. The protocol urged users to pause interactions and launched an investigation. CEO Boris Povar later published ten Ethereum addresses linked to the stolen funds, offering a 10% bounty for their return within 72 hours and threatening legal action. The incident highlights persistent vulnerabilities in cross-chain bridges, where security often conflicts with user demand for speed. Verification failures and assumptions in smart contract logic remain critical risks, as a single flaw can lead to multi-network exploits.

Key Takeaways

CrossCurve said its bridge was “under attack” on Feb. 2 and told users to pause interactions.
Defimon Alerts, linked to Decurity, estimated losses around $3 million across “several networks.”
Early reporting and security posts described a spoofed cross-chain message that bypassed validation and triggered token unlocks on the destination chain.

Cross-chain liquidity protocol CrossCurve said its bridge was exploited on Feb. 2, with security monitors estimating roughly $3 million in losses across multiple networks.

The protocol urged users to pause interactions while it investigated.

Later, CEO Boris Povar published ten Ethereum addresses he said received funds and offered a bounty of up to 10% if the assets were returned within 72 hours, warning the project would pursue legal action if no contact was made.

Try Our Recommended Crypto Exchanges

Bitget

promotions

New user rewards up to 6,200 USDT.

Coins

Claim Offer

Bitunix

promotions

Receive up to $100,000 worth of exclusive gifts for newcomers upon registration.

Coins

Claim Offer

BTCC

promotions

Get up to 10,055 USDT when you register, verify, and make the first deposit and the first trades.

Coins

Claim Offer

Explore All Offers

CrossCurve Attack Timeline

CrossCurve said on Feb. 2 that its bridge was “under attack,” involving exploitation of a vulnerability in one of the smart contracts used in its cross-chain system.

The exploit allowed an attacker to spoof a message to bypass validation and unlock tokens.

One quoted description said an attacker could call an “express” execution path on a receiver contract using a forged cross-chain message, then trigger an unlock on a portal contract.

CrossCurve has not published a full post-mortem or confirmed a final loss figure. Separate estimates clustered around $3 million.

In a follow-up post, Povar said the team identified ten Ethereum addresses tied to received funds and set a 72-hour window to return assets or make contact before escalation.

He said the project was prepared to pursue civil and criminal remedies and coordinate with industry partners to freeze assets.

CrossCurve did not immediately respond to a request for comment on the specific bug, the final loss amount, or a timeline for reopening.

A separate warning came from Curve Finance, which said users allocated to CrossCurve pools “may wish to review their positions” and consider removing votes, urging “risk-aware decisions” when interacting with third parties.

Why Spoofed Messages and Validation Assumptions Keep Winning

Bridge exploits often look like “just a smart contract bug.” The deeper pattern is verification failure.

A bridge is a promise: release assets on Chain B because something real happened on Chain A. The hard part is proving that “something real” without trusting an attacker’s message.

In general message passing, the destination contract is supposed to verify that a call was approved by the validator set by checking with the gateway (for example, via a validation function) before executing.

If a receiver contract accepts an alternate path that skips or weakens that check, a forged message can become a payout.

That’s why the “receiver side” matters as much as the messaging layer.

A protocol can route messages through reputable infrastructure and still lose funds if its own destination contract implements permissive logic, unsafe fast paths, or incorrect assumptions about upstream guarantees.

CrossCurve’s own documentation frames cross-chain risk as a “black swan” category and describes a design goal of routing through multiple independent validation protocols (“Consensus Bridge”) to reduce single points of failure.

But even multi-path designs can be undermined by a weak integration contract at the edge.

The Uncomfortable Truth: Bridge UX Wants Speed, Security Wants Paranoia

Users want bridging to feel instant: fewer clicks, less waiting, faster finality.

Security wants the opposite: more confirmations, tighter limits, and “do nothing unless you’re sure.”

Some cross-chain stacks explicitly offer speed features like “express” execution, where off-chain actors can accelerate delivery of an intended outcome.

The trade-off is that fast paths demand extra care in how authenticity is enforced, because the system is trying to move before the slowest proofs arrive.

This tension is why bridge hacks stay evergreen. Bridges concentrate liquidity, and a single verification bypass can unlock assets across multiple networks in one run.

What To Watch Next

CrossCurve has not yet released a full incident report. In most bridge incidents, the next signals that matter are:

Whether contracts remain paused and what code changes ship before any restart.
Whether the attacker returns funds, often in exchange for a bounty.
Whether stablecoin issuers, exchanges, or analytics firms flag and freeze related addresses.
Whether independent security teams publish a corroborated root-cause analysis.

For now, the takeaway is familiar and still useful: cross-chain bridges remain one of crypto’s most repeatable failure points, because “truth across chains” is a hard engineering problem with real money behind every assumption.

This is a developing story and will be updated.

Recommended Secure Partners

Safest Exchanges Best Safest (Most Secure) Crypto Exchanges? Check Out These Exchanges
Secure Crypto Wallets Crypto Wallets Reviews and Ranked
Bet Anonymously Check Out Our Recommended No KYC Casinos

Связанные с этим вопросы

QWhat was the estimated financial loss from the CrossCurve bridge exploit?

AThe estimated financial loss from the CrossCurve bridge exploit was approximately $3 million across several networks.

QWhat was the technical cause of the CrossCurve exploit as described in early reports?

AThe exploit was caused by a spoofed cross-chain message that bypassed validation, which then triggered unauthorized token unlocks on the destination chain.

QWhat action did CrossCurve's CEO take in response to the attack?

ACrossCurve's CEO, Boris Povar, published ten Ethereum addresses that received the funds and offered a bounty of up to 10% if the assets were returned within 72 hours, warning of legal action if no contact was made.

QAccording to the article, what is the fundamental tension that makes bridge exploits a recurring problem?

AThe fundamental tension is that users want bridging to be fast and instant, while security requires more confirmations, tighter limits, and cautious verification, creating a conflict between user experience and security paranoia.

QWhat general warning did Curve Finance issue in relation to this incident?

ACurve Finance warned users allocated to CrossCurve pools to review their positions and consider removing votes, urging them to make 'risk-aware decisions' when interacting with third parties.

Похожее

«Богиня благотворительности» с 3 млн подписчиков целиком создана ИИ, поддельный детский дом, международный «фальшивый фонд» рухнул за одну ночь

**Шокирующий разоблачение: Астролябка «благотворительности» с 300 000 подписчиков оказалась масштабной аферой на основе ИИ** Австралийская инфлюенсерша Лили Джей, имевшая почти 3 миллиона подписчиков в Instagram, создала тщательно продуманную мошенническую схему под прикрытием своего «Фонда Лили Джей». Используя искусственный интеллект, она и ее команда генерировали фальшивые изображения и видео, изображающие строительство мечетей, раздачу хлеба в Газе и даже открытие детского дома в Уганде для привлечения пожертвований от преимущественно мусульманской аудитории. Расследование ABC News Verify выявило многочисленные подделки: видео с «открытием» детского дома полностью сгенерировано ИИ (включая детей, саму Лили и фонды), «награда» за гуманитарную деятельность оказалась фальшивкой с цифровым водяным знаком ИИ, а заявленные благотворительные проекты в Уганде и Газе не существуют. Фонд не зарегистрирован как официальная благотворительная организация, что позволяло избегать финансовой отчетности. После запросов ABC сайт фонда стал скрывать кнопки для пожертвований и предупреждения о своем неблаготворительном статусе для посетителей из Австралии, но оставил их для иностранных пользователей. Эксперты предупреждают, что эта афера — тревожный прецедент, демонстрирующий, как ИИ может эксплуатировать человеческое доверие и желание творить добро, создавая убедительные, но полностью вымышленные нарративы.

marsbit7 мин. назад

«Богиня благотворительности» с 3 млн подписчиков целиком создана ИИ, поддельный детский дом, международный «фальшивый фонд» рухнул за одну ночь

marsbit7 мин. назад

L2 «рекалибровка»: когда L1 становится собственным ролл-апом, каков финал Ethereum?

«L2 перекалибровка»: когда L1 становится собственным роллапом, каков финал Ethereum? Первоначально, роллапы (L2) рассматривались как основной путь масштабирования Ethereum, обеспечивая дешёвое и быстрое исполнение транзакций. Однако, с развитием самого L1 (повышение лимита газа, внедрение безсостоятельности и zkEVM) и объединением задач масштабирования, традиционное разделение между L1 как безопасным, но медленным «слоем урегулирования» и L2 как дешёвым «слоем исполнения» меняется. Вопрос теперь не только в увеличении пространства блоков, а в перераспределении ролей в системе с множеством исполняющих сред. Будущая роль L2 смещается от простого предоставления дешёвого газа к обеспечению уникальных функций, таких как оптимизация для конкретных приложений, приватность и гибкие модели управления. Таким образом, L2 станет скорее спектром исполняющих сред с разной степенью наследования безопасности Ethereum, чем единым техническим классом. Ключевой задачей становится решение фрагментации. Разделённая ликвидность и состояние пользователя ухудшают опыт. Усилия концентрируются на улучшении взаимодействия (интероперабельности) через системы на основе намерений (intents) и нативные протоколы, такие как Ethereum Interoperability Layer (EIL), чтобы Ethereum вновь «ощущался как единая цепь». Сокращение времени до финальности транзакций L1 также имеет решающее значение для доверия между цепями. Ещё более радикальная идея — с появлением систем доказательств (zkEVM) внутри L1 сама Ethereum может стать своего рода «собственным роллапом», где высокопроизводительные узлы исполняют транзакции, а валидаторы проверяют криптографические доказательства. Это размывает классические границы между слоями и открывает путь к архитектуре, где множество исполняющих доменов (специализированных L2) сосуществуют, разделяя общую безопасность, ликвидность и систему урегулирования Ethereum. В итоге, будущее Ethereum видится не как победа L1 над L2 или наоборот, а как экосистема взаимосвязанных исполняющих сред, которые, будучи «разобранными» для масштабирования, вновь объединяются в единое, безопасное и удобное для пользователя целое.

marsbit9 мин. назад

L2 «рекалибровка»: когда L1 становится собственным ролл-апом, каков финал Ethereum?

marsbit9 мин. назад

Grayscale подает первую заявку на спотовый ETF Worldcoin в SEC под тикером GWLD

Компания Grayscale Investments подала заявку в Комиссию по ценным бумагам и биржам США (SEC) на запуск биржевого фонда (ETF), ориентированного на криптовалюту Worldcoin (WLD), под тикером GWLD. Заявка подана в момент, когда WLD торгуется на исторически низких уровнях, но новость вызвала рост его цены более чем на 8%. В документах подчеркиваются потенциальные риски для инвесторов, включая высокую концентрацию токенов (около 90% предложения в руках 100 крупнейших кошельков) и плановую разблокировку токенов командами проекта до 2028 года, что может оказывать давление на курс. Также отмечены регуляторные вопросы, связанные с биометрическим сбором данных через сканирование сетчатки глаза в проекте Worldcoin. Несмотря на то, что запуск ETF на бирже запланирован только на конец 2026 года, Grayscale активно расширяет линейку регулируемых криптовалютных продуктов, стремясь укрепить свои позиции на зарождающемся рынке ETF.

TheNewsCrypto23 мин. назад

Grayscale подает первую заявку на спотовый ETF Worldcoin в SEC под тикером GWLD

TheNewsCrypto23 мин. назад

Вечные фрагменты денег: У третьих сторон нет первоосновы в платежах

**Автор: Зоя Вебсан** В статье рассматривается текущее состояние и будущее индустрии платежей через призму возможного поглощения PayPal компанией Stripe. Автор отмечает, что Stripe, упустив окно для IPO во время бума на рынке, теперь стремится к росту за счет приобретений, пытаясь дополнить свои сильные стороны в работе с разработчиками (B2B) клиентской базой PayPal (C2C). Однако основная проблема PayPal видится не в отставании от новых трендов, а в структурной устарелости всей организации. В статье подчеркиваются две ключевые особенности, ограничивающие рост в платежной сфере: крайняя фрагментация рынка (можно выжить, обслуживая узкую нишу) и зависимость от традиционной банковской системы. Попытки Stripe выйти на рынок стейблкоинов (через покупки таких компаний, как Bridge, Privy, Tempo и OpenUSD) и занять нишу в зарождающейся «экономике агентов» (AI-агентов) пока не принесли прорыва. Стейблкоины еще не стали повседневным платежным средством, а агенты в основном используются для накрутки объемов и не интегрированы в основную бизнес-среду. Автор предполагает, что для Stripe поглощение PayPal — это способ расширить масштаб и нарратив перед возможным IPO. Компания представлена как своего рода опцион: ее максимальная оценка в $100 млрд возможна только в случае успеха ее стратегии со стейблкоинами и агентами. В противном случае она останется в рамках разумной оценки финтех-компании (~$50 млрд). В заключительной части прогнозируется возможное будущее для таких игроков, как Stripe и Circle. После этапа конкуренции через разделение доходов от стейблкоинов следующим логическим шагом и источником прибыли могут стать высокоэффективные клиринговые сети на базе их собственных блокчейнов (Tempo, Arc). Получив банковские лицензии, эти компании потенциально смогут частично обойти традиционную банковскую систему, оставляя прибыль от расчетов себе. Таким образом, война в сфере платежей превращается в позиционную «битву за Верден», где невозможно быстро уничтожить всех мелких игроков, а будущее за теми, кто сможет монетизировать инфраструктуру расчетов нового поколения.

marsbit32 мин. назад

Вечные фрагменты денег: У третьих сторон нет первоосновы в платежах

marsbit32 мин. назад

Путь криптозаконопроекта Clarity: дорога к двухпартийному компромиссу в США усеяна терниями

Конгресс США пытается продвинуть законопроект Clarity, направленный на регулирование структуры крипторынка. Его судьба зависит от достижения двухпартийного компромисса по спорным вопросам. В январе глава Coinbase Брайан Армстронг сорвал уже достигнутую сделку в комитете Сената. В мае, после компромисса по вопросам «дохода» (yield), законопроект был вынесен на голосование, но получил поддержку лишь двух сенаторов-демократов — Анжелы Олсобрукс и Рубена Галлего. Они заявили, что их дальнейшая поддержка зависит от включения в закон этических положений (этикета) для выборных должностных лиц. Из-за разногласий по этому пункту в сельскохозяйственном комитете Сената закон был принят голосами только республиканцев. Ключевыми остаются проблемы незаконных финансов и защиты потребителей. Сенаторы Синтия Ламмис (республиканка) и Марк Уорнер (демократ) подчеркивают важность баланса между регулированием и инновациями. В июле продолжились консультации, в том числе с Белым домом, по поиску приемлемой формулировки этических норм. Ожидается публикация согласованного текста, но его двухпартийная поддержка под вопросом. Галлего заявил, что без сильных этических положений демократы закон не поддержат. Несмотря на препятствия, работа над законом продолжается. Возможные цели включают символическое голосование до августовских каникул, окончательное принятие к 2026 году или выработку компромиссного框架 с этическими нормами и положениями о банках (BRCA). Процесс требует традиционной для Конгресса кропотливой работы по завоеванию голосов.

Foresight News1 ч. назад

Путь криптозаконопроекта Clarity: дорога к двухпартийному компромиссу в США усеяна терниями

Foresight News1 ч. назад

Торговля

Спот

CrossCurve Bridge Exploit Drains About $3M, Rekindling Cross-Chain Risk

Введение

Bitget

Bitunix

BTCC

CrossCurve Attack Timeline

Why Spoofed Messages and Validation Assumptions Keep Winning

The Uncomfortable Truth: Bridge UX Wants Speed, Security Wants Paranoia

What To Watch Next

Связанные с этим вопросы

Похожее

«Богиня благотворительности» с 3 млн подписчиков целиком создана ИИ, поддельный детский дом, международный «фальшивый фонд» рухнул за одну ночь

L2 «рекалибровка»: когда L1 становится собственным ролл-апом, каков финал Ethereum?

Grayscale подает первую заявку на спотовый ETF Worldcoin в SEC под тикером GWLD

Вечные фрагменты денег: У третьих сторон нет первоосновы в платежах

Путь криптозаконопроекта Clarity: дорога к двухпартийному компромиссу в США усеяна терниями

Торговля

Популярные категории

Популярные теги