10月24日至26日，Polkadot Asset Hub 上负责跨链消息的 XCM 执行器被精准撬开了一道缝。攻击者没有粗暴地动用账户余额，而是通过篡改与美元锚定的 dotUSD 的“记账发行量”，在账本层面制造出一种只减发行、不动余额的异常状态，DOT/dotUSD 流动性池的定价随之失衡，套利空间瞬间打开。据单一中文媒体转述，作为该池唯一的流动性提供者，Polkadot 财库在这场错价中独自吞下约 138.1 万美元损失，这一数字尚未得到官方或链上数据的独立确认，更令人刺痛的是：相关 XCM 代码早在 2026 年 6 月就已完成修复，却迟迟没有部署到 Asset Hub 的实际运行环境。几乎同一时间线的另一端，印度国家级机构 CERT-In 更新通告，将一类针对金融机构的 AI 辅助攻击者正式命名为 “CRAFTY FALCON”，点名加密货币交易所和虚拟数字资产服务商也在潜在受害范围之内，描述其利用暴露在互联网的测试环境及共享凭证，在测试与生产之间横向移动，直至拿到钱包密钥并转移资金。一个是已修复未部署的旧洞，一个是仍在升级的 AI 攻击链，在 2026 年的安全叙事里并行成线，共同指向同一个问题：当修复和响应的节奏落在攻击之后，再精密的协议和再庞大的财库也难以在时间差面前保持安全。
dotUSD池被套利：财库成唯一买单
在这次针对 Polkadot Asset Hub 的攻击路径里，真正被动手脚的并不是用户账户余额，而是 dotUSD 的「记账发行量」。攻击者利用与 dotUSD 相关的 XCM 执行逻辑，设法减少系统层面记录的总发行量，却刻意不改动任何地址的余额记录。结果是，账面上 dotUSD 显得更“稀缺”，DOT/dotUSD 流动性池在这一错位状态下继续做价格撮合，池内报价开始系统性偏离正常水平，为懂得读懂这一记账差异的套利者打开了空间。
问题在于，这个被错价挤出的套利空间，几乎完全对着同一个对手盘展开。相关 DOT/dotUSD 池的唯一流动性提供者是 Polkadot 财库，当池内 dotUSD 被系统高估、DOT 被低估时，套利交易反复叠加，池子的损失就直接投射到财库资产上。据单一中文媒体的估算，这一轮错价套利可能导致约 138.1 万美元损失，但这一数字目前既没有官方说明，也缺乏基于链上数据的独立核算支撑，外界能确认的只是一笔由财库独自买单的错误报价后果。
XCM要害位置与Asset Hub风险
如果把这次财库亏损视为症状，那么病灶其实在更深的协议层：被攻击的正是承载跨链执行的 XCM 组件，以及它所在的 Asset Hub。XCM（跨共识消息）是 Polkadot 用来在不同共识系统之间传递资产与信息的关键通道，平时用户只看到平滑的跨链转账和调用，背后却是这套执行器在不同链之间“搬运状态”。一旦这个通道本身被操控，错误就不再局限于某条平行链，而是可能沿着消息路径扩散到更大范围的资产环境。
Asset Hub 则站在资金密度最高的位置，它负责托管多类链上资产，并承载 dotUSD 的运行环境，与 Polkadot 财库资产安全直接相连。本次利用发生在资产托管与跨链执行的交汇点，攻击者在这里改写 dotUSD 的记账发行量，却不碰账户余额，最终撬动的是由财库单独提供流动性的 DOT/dotUSD 池。这种单点失守，本不该发生在已知问题上——相关 XCM 代码据报道在 2026 年 6 月就完成了修复，但修复版本始终没有在事发前部署到 Asset Hub，时间差把一次工程改动变成了治理与运维协同的空窗期，也把架构中最关键的一处要害暴露在现实攻击面前。
印度警告CRAFTY FALCON攻入交易所
当 Polkadot 因一次修复迟到付出代价时，另一条攻击叙事已经在印度的安全通告里成形。国家级机构 CERT-In 在最新公告中，把一类借助 AI 的金融攻击者正式命名为“CRAFTY FALCON”。相比此前只针对传统金融机构的预警，这次通告直接把加密货币交易所和虚拟数字资产服务商写进受威胁名单，提醒这些掌管大量链上钱包与私钥的机构，同样处在这条攻击链的瞄准镜下。
在 CERT-In 的描述里，CRAFTY FALCON 更像一套流程而不是单一黑客：攻击从暴露在互联网的测试环境切入，利用其中存在的应用漏洞取得初始控制权；随后，攻击者依靠在组织内部被反复复用的共享凭证和访问令牌，在测试与生产环境之间横向移动，直到拿到生产系统入口。一旦进入真正承载用户资产的钱包系统，最终目标就只剩下两件事：窃取钱包密钥，然后转移资金离场。通告明确指出，这类攻击活动仍在持续升级，但既没有公布受害机构名单，也没有披露损失规模，只留下一个正在扩展中的威胁轮廓，让所有被点名的交易所与服务商不得不把自己代入这条已经跑通的攻击路径。
修复与部署时间差成为安全痛点
在Polkadot这次事件里，真正致命的并不是没人发现问题，而是“修好了，却没来得及上生产”。与XCM相关的漏洞代码在2026年6月就已完成修复，但Asset Hub运行环境直到10月24日至26日仍在使用旧版本执行器，攻击者正是切入这一时间窗，通过操控dotUSD的记账发行量、撬动DOT/dotUSD池的价格失衡完成套利，让作为唯一流动性提供者的财库独自承担了媒体估算约138.1万美元的损失。修复与部署之间的几个月时间差，在攻击者眼里就是一块已经标好坐标的“悬空资产”。
CERT-In对“CRAFTY FALCON”的通告，揭开的也是同一类防御滞后：测试环境长期暴露在互联网、共享凭证与访问令牌在测试与生产之间复用，给攻击者提供了从边缘系统横向移动到钱包系统的现成通道，而防守方对这些基本运维问题的处理节奏显然落后于攻击演进。在AI辅助攻击加速的背景下，一旦修复补丁、环境配置或凭证明文出现在任何公开或半公开的面上，攻击者就可以借助自动化与模型能力迅速识别差异、扫描尚未升级的目标，把“修复完成但未部署”“测试环境与生产环境的错位”“高权限凭证在多环境复用”这些习以为常的工程现实，统统转化为结构性风险。接下来值得中长期持续观察的，已经不是某个项目具体应该怎么做，而是整个行业在升级流程、测试环境暴露程度和凭证管理习惯这三个维度上能否真正缩短修复、部署与运维之间的时间差，把安全节奏从被动跟随攻击，拉回到可以主动控制的轨道。
从单点事故到行业安全升级的观察
从 Polkadot 财库在 DOT/dotUSD 池中独自承担损失，到 CERT-In 为“CRAFTY FALCON”命名的 AI 攻击预警，2026 年这两条线索指向的是同一个薄弱环节：核心执行组件和日常运维流程，一旦在修复、部署与管控之间拉出时间差，就会被放大为系统级风险。Polkadot Asset Hub 上 XCM 执行器的修复代码在 6 月已完成，却未及时部署，攻击者于是得以在 10 月 24 日至 26 日间操控 dotUSD 的记账发行量而不改动账户余额，引发 DOT/dotUSD 报价失衡，并让作为唯一流动性提供者的财库承担约 138.1 万美元的媒体估算损失，这种跨链执行组件与财库资产池紧耦合的设计在本次事件中被集中暴露。截至 2026 年 11 月 5 日，公开材料尚未显示 Polkadot 已完整披露复盘细节和具体补救路径，另一边，CERT-In 虽在最新通告中把加密货币交易所和虚拟数字资产服务商纳入“CRAFTY FALCON”的攻击范围，详细受害机构名单与损失案例同样未公开，但其勾勒的攻击链条——从暴露在互联网的测试环境切入，利用共享凭证在测试与生产环境横移，直至窃取钱包密钥并转移资金——已经把测试环境、共享凭证与生产钱包并列为需要持续审视的高风险面。接下来值得重点观察的，将是 Polkadot 及其他公链是否愿意在跨链执行器、财库资产池和变更流程上公开复盘流程缺口，也包括各大交易所如何在部署策略、测试环境隔离和凭证管理上回应国家级 CERT 的 AI 攻击预警，这些后续动作能否真正改变修复、部署与运维之间的节奏，将成为衡量加密行业在 2026 年之后安全水平能否进阶的关键变量。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到support@aicoin.com，本平台相关工作人员将会进行核查。
