2022 年 8 月 17 日，攻击者通过 BGP 劫持窃取约 23.5 万美元加密货币，目标为 Celer Bridge 跨链服务。该事件暴露了 IRR 数据库与 RPKI 验证机制在实际部署中的协同缺口，表明任何在互联网上开展业务的组织都需重新审视路由安全防线。
劫持链路：伪造 IRR 对象与 AS-PATH 篡改
攻击者分两步绕过上游过滤。首先在 AltDB（RADB 与五大 RIR 维护的 IRR 数据库的免费替代）注入 QuickhostUK 的虚假路由对象，包含 as-set AS-SET209243、成员 AS209243 与 AS16509、路由 44.235.216.0/24、源标记 ALTDB、变更时间 20220816。由于网络服务商依据 IRR 构建路由过滤器，此步骤使伪造公告通过合法性校验。其次将 AS-PATH 改写为 Amazon ASN AS14618 源发，导致路由被判定为 RPKI-valid。原文未说明 QuickhostUK 是否为受害方。
攻击面：云托管服务的路由信任链断裂
Celer Bridge 基础设施托管于 Amazon，攻击者劫持其 IP 段后冒充服务端下发恶意智能合约，诱导受害者签名将资产转入攻击者钱包。Coinbase 威胁情报团队披露细节（Coinbase 非攻击目标），Kentik BGP 可视化确认劫持过程。此类攻击不直接针对区块链共识层，而是利用底层路由信任体系缺陷，任何依赖云服务商 IP 地址的业务均面临同类风险。
防御启示：IRR 与 RPKI 的协同盲区
事件揭示两大机制协同失效：AltDB 等非权威 IRR 库缺乏准入审核，允许匿名注入路由对象；RPKI 验证仅检查源 ASN 授权，未校验 AS-PATH 完整性。运维需在边界路由器部署基于 RPKI 的路由源验证（ROV），同时对上游 IRR 源实施白名单策略，拒绝非权威数据库条目。原文未给出具体部署比例数据。
对网络工程师而言，该案例证明单一依赖 RPKI 或 IRR 均不足以阻断精心构造的劫持。需建立“权威 IRR 源 + ROV 强制落地 + AS-PATH 异常告警”纵深防御，并定期审计自有前缀在全球路由表中的可见性，将路由安全纳入业务连续性体系。
原文: APNIC Blog（2022-11-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog