据 BlockSec 称，Wanchain 的 Cardano 跨链桥于 7 月 21 日遭受攻击，盗走了跨链桥机枪池中的约 5.15 亿枚 NIGHT 代币。
BlockSec 的调查发现，根本原因是 TreasuryCheck 验证者中的签名消息编码漏洞。该验证者通过在不使用分隔符或长度前缀的情况下，将 14 个可变长度的赎回字段进行拼接来构造签名消息，从而使不同字段值组合能够生成相同的字节串，并因此复用相同的哈希以及有效的签名。BlockSec 通过对链上 Plutus V2 字节码进行反编译，并对攻击交易进行解码来验证该漏洞。
