你以為躲過(guò)了土狗歸零，躲過(guò)了交易所插針，你的資產(chǎn)就安全了嗎？答案可能比你想象的要?dú)埧岬枚唷?/p>

站在 2025 年的歲末回望，如果只看 K 線圖，今年的故事似乎依舊是熟悉的牛熊輪轉(zhuǎn)、起伏不定。但在價(jià)格曲線的背面，還有另一條更為驚心動(dòng)魄的軌跡。這一年，黑客們的獵殺變得更加精準(zhǔn)且致命。根據(jù)慢霧區(qū)塊鏈被黑檔案庫(kù)及其他網(wǎng)絡(luò)來(lái)源的不完全統(tǒng)計(jì)，截至 12 月 15 日，全年鏈上及加密相關(guān)安全事件達(dá) 189 起，累計(jì)損失高達(dá)約 26.89 億美元。

數(shù)據(jù)全景

時(shí)間上，今年致命的「重磅炸彈」大多在第一季度被引爆，而后三個(gè)季度，行業(yè)則更多面臨著中小型安全事故的持續(xù)騷擾。

Q1 共發(fā)生 68 起事件，披露損失約 16.58 億美元，是全年數(shù)量和金額都最高的季度，其中包括 Bybit 在內(nèi)的十億美元級(jí)事件，使這一時(shí)期的記錄遠(yuǎn)高于其他季度。

Q2 記錄 52 起事件，損失約 4.65 億美元；Q3 為 38 起事件，損失約 3.28 億美元；Q4 截至 12 月 15 日時(shí)錄得 31 起事件，損失約 2.38 億美元。

金額上，在所有披露損失的 127 起事件中，約一半（62 起） 的案值不足 100 萬(wàn)美元。這些占據(jù)了半壁江山的「小案子」，合計(jì)損失約 1,437 萬(wàn)美元，在年度總損失中的占比微乎其微（0.53%）。真正的危機(jī)，被高度壓縮在金字塔的頂端。

包括 Bybit 在內(nèi)的 3 起億級(jí)大案，雖然數(shù)量占比不足 3%，合計(jì)案值卻高達(dá)約 18.11 億美元，占全年的 67.35%。尤其是 Bybit 這一起孤例，單案損失高達(dá) 14.6 億美元，一家就占年度損失的一半以上（54.29%）。對(duì)于黑客而言，攻擊 100 個(gè)中小項(xiàng)目，遠(yuǎn)不如完成一次對(duì)頂級(jí)目標(biāo)的「單點(diǎn)爆破」來(lái)得暴利。

其余損失位于 100 萬(wàn)至 1000 萬(wàn)美元區(qū)間的事件有 42 起，占 33.07%，累計(jì)損失約 1.92 億美元，占 7.15%。在 1000 萬(wàn)至 5000 萬(wàn)美元區(qū)間共有 15 起事件，占 11.81%，損失約 3.37 億美元，占 12.54%。5000 萬(wàn)至 1 億美元的事件有 5 起，占 3.94 %，累計(jì)損失約 3.34 億美元，占 12.42%。

2025 年度十大安全事件

筆者按披露損失金額，篩選出了全年最為慘烈的十大核心案件。這十起事故雖然只占案發(fā)總數(shù)的極小比例，卻合計(jì)貢獻(xiàn)了全年絕大多數(shù)的被盜金額。

1. Bybit 供應(yīng)鏈攻擊：14.6 億美元的幽靈簽名

• 時(shí)間: 2025 年 2 月 21 日
• 攻擊手法: 供應(yīng)鏈攻擊

這是 Web3 歷史上規(guī)模最大的單次黑客攻擊，根據(jù)鏈上偵探 ZachXBT 及官方取證報(bào)告，本次攻擊并非直接破解了 Bybit 的私鑰，而是疑似臭名昭著的朝鮮黑客組織 Lazarus Group 實(shí)施的一次供應(yīng)鏈投毒。攻擊者通過(guò)社會(huì)工程學(xué)手段入侵了多簽服務(wù)商 Safe Wallet 開(kāi)發(fā)人員的電腦，植入了惡意代碼。

當(dāng) Bybit 團(tuán)隊(duì)執(zhí)行常規(guī)的冷熱錢(qián)包歸集操作時(shí)，被篡改的前端 UI 實(shí)施了視覺(jué)欺騙：屏幕上顯示的是正常的轉(zhuǎn)賬地址，然而底層的智能合約邏輯已被悄悄替換為惡意后門(mén)。 這導(dǎo)致 Bybit 在毫不知情的情況下，親手簽署了將 49.9 萬(wàn)枚 ETH 轉(zhuǎn)移給黑客的交易。

但事件發(fā)生后，Bybit 迅速公開(kāi)直播并發(fā)布說(shuō)明，為阻斷攻擊擴(kuò)散，Bybit 第一時(shí)間暫停受影響錢(qián)包交互，同時(shí)保持平臺(tái)提現(xiàn)與存款功能正常運(yùn)行，避免因恐慌造成擠兌，只部分提現(xiàn)因流量激增可能延遲。同時(shí)其確認(rèn)此次僅涉及其中一個(gè) ETH 冷錢(qián)包，其余資產(chǎn)保持安全，并強(qiáng)調(diào)平臺(tái)儲(chǔ)備充足，將全額承擔(dān)用戶損失，確保用戶資金 1:1 安全。

2. Cetus 合約漏洞：2.6 億美元的 DeFi 數(shù)學(xué)陷阱

• 時(shí)間: 2025 年 5 月 22 日
• 攻擊手法: 合約漏洞

Cetus 是 SUI 公鏈生態(tài)中的重要流動(dòng)性提供協(xié)議。事后分析發(fā)現(xiàn)，Cetus 的智能合約在處理特定參數(shù)時(shí)存在數(shù)學(xué)庫(kù)精度問(wèn)題（overflow check 缺陷）。

黑客利用該邏輯缺陷，通過(guò)壓低池內(nèi)價(jià)格，在高價(jià)區(qū)建倉(cāng)，隨后利用溢出漏洞，僅以極小的代幣成本就向池內(nèi)注入了虛高的流動(dòng)性，最終像變魔術(shù)一樣掏空了價(jià)值 2.6 億美元的資產(chǎn)。但這起事件的高 潮不僅攻擊本身，還涉及后續(xù)的救援行動(dòng)。在黑客得手并將部分資金跨鏈轉(zhuǎn)移后，Sui 驗(yàn)證節(jié)點(diǎn)迅速識(shí)別并鎖定了攻擊者留在鏈上的約 1.62 億美元 資產(chǎn)。

為了奪回這筆巨款，Sui 社區(qū)通過(guò)了一項(xiàng)極具爭(zhēng)議的升級(jí)提案：Sui 官方支持通過(guò)硬編碼的方式，在協(xié)議升級(jí)中加入兩筆特殊交易，直接將黑客地址中的資產(chǎn)強(qiáng)行劃轉(zhuǎn)至由 Cetus、Sui 基金會(huì)和安全公司共同管理的多簽錢(qián)包。提案獲得通過(guò)，1.62 億美元被成功「沒(méi)收」并用于賠付用戶，配合基金會(huì)的貸款，Cetus 最終實(shí)現(xiàn)了對(duì)受損用戶的全額賠付。雖然是保護(hù)受害者的正義之舉，但也打破了「不可篡改」的區(qū)塊鏈金身。

3. Balancer 邏輯漏洞：1.28 億美元的取整謬誤

• 時(shí)間: 2025 年 11 月 3 日
• 攻擊手法: 邏輯漏洞

作為老牌 DeFi 協(xié)議, Balancer 在 V2 上依然因?yàn)檫壿嬄┒丛庥鲋貏?chuàng)。據(jù)分析，漏洞源于極其隱蔽的四舍五入方向錯(cuò)誤，當(dāng)處理包含非整數(shù)縮放因子的 EXACT_OUT 兌換時(shí)，協(xié)議錯(cuò)誤地執(zhí)行了向下取整。

攻擊者敏銳地捕捉到了這一毫厘之差，結(jié)合批量?jī)稉Q功能反復(fù)套利，最終將以太坊、Arbitrum、Avalanche 等多條鏈上的資金池洗劫一空，損失總額高達(dá) 1.28 億美元。此次攻擊迅速引發(fā)了「多米諾骨牌效應(yīng)」：為防止漏洞波及自身的 BEX，Berachain 不惜通過(guò)緊急硬分叉的方式暫停網(wǎng)絡(luò)運(yùn)行；StakeWise、Beets 等依賴(lài) Balancer 流動(dòng)性的協(xié)議蒙受重創(chuàng)。

4. Nobitex 遭國(guó)家級(jí)打擊：9000 萬(wàn)美元的數(shù)字地緣沖突

• 時(shí)間: 2025 年 6 月 18 日
• 攻擊手法: 未明

Nobitex 事件在官方披露時(shí), 僅給出資金損失與業(yè)務(wù)影響的粗略說(shuō)明。事件發(fā)生在伊朗與以色列爆發(fā) 12 天軍事沖突的敏感時(shí)期。攻擊者 Predatory Sparrow 并沒(méi)有試圖掩蓋蹤跡或清洗資金，而是將這些錢(qián)轉(zhuǎn)移到了通過(guò)暴力 破解生成的羞辱性地址中（地址后綴包含反伊朗革命衛(wèi)隊(duì) IRGC 的口號(hào)）。

這種做法直接導(dǎo)致這些資金既無(wú)法被使用，也無(wú)法被追回，相當(dāng)于在鏈上制造了一片「數(shù)字焦土」。其目的非常明確：不是為了錢(qián)，而是為了癱瘓伊朗的金融生命線，羞辱對(duì)手。此次攻擊還導(dǎo)致了 Nobitex 源代碼的泄露，揭開(kāi)了伊朗加密經(jīng)濟(jì)的「雙面性」：代碼顯示，Nobitex 內(nèi)置了供執(zhí)法部門(mén)使用的「后門(mén)」，允許在無(wú)搜查令的情況下監(jiān)控普通用戶；同時(shí)，它又為 VIP（通常是受制裁的高官或?qū)嶓w）設(shè)計(jì)了專(zhuān)門(mén)的隱私保護(hù)邏輯，幫助其規(guī)避?chē)?guó)際制裁和反洗錢(qián)審查。

5. UPCX 權(quán)限失竊：7000 萬(wàn)美元的流動(dòng)性死局

• 時(shí)間: 2025 年 4 月 1 日
• 攻擊手法: 私鑰泄露 / 惡意升級(jí)合約

這是一場(chǎng)看似驚天動(dòng)地、實(shí)則進(jìn)退兩難的黑客行動(dòng)。4 月 1 日，Cyvers 監(jiān)測(cè)到支付公鏈 UPCX 的管理賬戶出現(xiàn)異常。

攻擊者疑似獲取了管理員權(quán)限，通過(guò)升級(jí) ProxyAdmin 合約并調(diào)用 withdrawByAdmin 函數(shù)，從三個(gè)管理賬戶中一口氣提走了 1840 萬(wàn)枚 UPC，賬面價(jià)值高達(dá) 7000 萬(wàn)美元。但根據(jù) CoinGecko 數(shù)據(jù)，UPCX 當(dāng)時(shí)的市場(chǎng)流通量?jī)H為約 400 萬(wàn)枚。這意味著，黑客手中掌握的代幣數(shù)量是全市場(chǎng)流通總量的 4.6 倍。

6. Phemex 熱錢(qián)包失守：7000 萬(wàn)美元的多鏈掃蕩

• 時(shí)間: 2025 年 1 月 23 日
• 攻擊手法: 未知途徑熱錢(qián)包私鑰泄露

1 月 23 日，新加坡交易所 Phemex 遭遇大規(guī)模網(wǎng)絡(luò)攻擊，損失高達(dá) 7000 萬(wàn)美元。據(jù)安全機(jī)構(gòu)分析，幕后黑手極有可能是朝鮮相關(guān)黑客組織 TraderTraitor。攻擊者展現(xiàn)了極高的專(zhuān)業(yè)度與執(zhí)行力：不僅同時(shí)在 ETH、Solana、Polkadot 等多條公鏈上通過(guò)至少 8 個(gè)地址轉(zhuǎn)移資產(chǎn)，更在操作上極具針對(duì)性。

攻擊者優(yōu)先將 USDC、USDT 等可凍結(jié)資產(chǎn)兌換為 ETH，隨后連價(jià)值僅幾百美元的小幣種也一并打包帶走。事后，Phemex 依托其約 18 億美元的儲(chǔ)備金啟動(dòng)賠付并恢復(fù)服務(wù)，暫時(shí)穩(wěn)住了平臺(tái)運(yùn)營(yíng)。

7. BtcTurk 熱錢(qián)包失守：5400 萬(wàn)美元的二度折戟

• 時(shí)間: 2025 年 8 月 14 日
• 攻擊手法: 熱錢(qián)包私鑰泄露

對(duì)于土耳其最大的加密交易所 BtcTurk 來(lái)說(shuō)，此次事件是一場(chǎng)似曾相識(shí)的噩夢(mèng)。事件發(fā)生 14 個(gè)月前，該交易所曾因熱錢(qián)包被盜 5500 萬(wàn)美元而導(dǎo)致管理層大換血。然而悲劇卻再次重演，其熱錢(qián)包再次被攻破，黑客輕松獲取了獲取 7 條區(qū)塊鏈的私鑰權(quán)限，卷走約 5400 萬(wàn)美元。

這起案件最令人唏噓的不是金額，而是重蹈覆轍。連續(xù)兩次被盜均源于熱錢(qián)包私鑰管理不善，對(duì)于用戶而言這是最壞的消息，因?yàn)槟阌肋h(yuǎn)不知道平臺(tái)是否真的吸取了教訓(xùn)，還是僅僅在等待下一次被盜。

8. Infini 權(quán)限失竊：5000 萬(wàn)美元的賭徒施盜

• 時(shí)間: 2025 年 2 月 24 日
• 攻擊手法: 內(nèi)鬼作案

起初，團(tuán)隊(duì)試圖通過(guò)鏈上喊話并提供 20% 賞金來(lái)招安黑客，但隨著調(diào)查深入，一個(gè)令人震驚的真相浮出水面：這并非外部入侵，而是核心工程師的「監(jiān)守自盜」。

根據(jù)網(wǎng)絡(luò)流傳的法院披露文件，第一被告 Chen Shanxuan（Infini 核心合約工程師）利用職務(wù)之便，在部署合約時(shí)保留了 Super Admin 最高權(quán)限，卻對(duì)團(tuán)隊(duì)謊稱(chēng)已移交至多簽。被告因長(zhǎng)期沉迷高倍數(shù)合約交易和網(wǎng)絡(luò)賭bo，背負(fù)了巨額債務(wù)。在案發(fā)前，他曾多次向同事借錢(qián)，甚至接觸地下 錢(qián)莊。

在債務(wù)壓力的逼迫下，他動(dòng)用了權(quán)限，將金庫(kù)中的 5000 萬(wàn)美元洗劫一空。他將 USDC 換成 DAI 再換成 ETH，試圖通過(guò)混幣洗白。這種基于信任的「草臺(tái)班子」管理，再次印證了加密價(jià)值觀之一：Don『t Trust, Verify！

9. CoinDCX 管理漏洞：接私活接出的 4420 萬(wàn)美元大鍋

• 時(shí)間: 2025 年 7 月 19 日
• 攻擊手法: 內(nèi)部威脅

印度頭部交易所 CoinDCX 遭遇了一場(chǎng)荒誕的「內(nèi)鬼」危機(jī)。黑客在凌晨先進(jìn)行了一筆 1 USDT 的微小測(cè)試，隨即如決堤般卷走了價(jià)值 4420 萬(wàn)美元 的資產(chǎn)。警方調(diào)查迅速鎖定了公司員工 Rahul Agarwal 并將其逮捕。

調(diào)查顯示，Agarwal 長(zhǎng)期違規(guī)使用公司配發(fā)的筆記本電腦「接私活」，在過(guò)去一年里賺取了約 1.8 萬(wàn)美元的外快。但這臺(tái)公物私用的電腦最終成為了外部黑客滲透內(nèi)網(wǎng)的特洛伊木馬。員工終端安全（Endpoint Security）與行為規(guī)范，是交易所絕對(duì)不能忽視的隱形防線。

10. GMX 管理漏洞：4200 萬(wàn)美元越修越漏的回旋鏢

• 時(shí)間：2025 年 7 月 15 日
• 攻擊手法：重入攻擊 / 補(bǔ)丁引入漏洞

去中心化衍生品交易協(xié)議 GMX V1 遭遇了智能合約攻擊中古老且經(jīng)典的「重入攻擊」漏洞，重入攻擊即利用合約邏輯的時(shí)間差，在系統(tǒng)完成最終記賬之前，強(qiáng)行「插隊(duì)」再次發(fā)起調(diào)用，如本案中黑客卡在系統(tǒng)更新持倉(cāng)數(shù)量和平均價(jià)格之間的間隙發(fā)起攻擊，迫使系統(tǒng)錯(cuò)誤使用舊價(jià)格計(jì)算資產(chǎn)價(jià)值。

然而諷刺的是，這個(gè)致命漏洞，是 GMX 團(tuán)隊(duì)在 2022 年緊急修復(fù)某個(gè) Bug 時(shí)候自己引入的。在未經(jīng)充分審計(jì)的情況下，這顆埋了三年的雷終于被引爆。幸運(yùn)的是，最終黑客同意白帽協(xié)議談判，歸還了大部分資金。

攻擊手段

若按攻擊手段拆解，我們會(huì)發(fā)現(xiàn)黑客對(duì) Web3 的入侵就像一場(chǎng)分層級(jí)的「立體戰(zhàn)爭(zhēng)」。不同的攻擊手法，折射出完全不同的技術(shù)深度與破壞邊界。

供應(yīng)鏈攻擊展示了極為可怕的破壞力上限。盡管該類(lèi)別全年僅記錄 4 起，且其中 3 起的損失規(guī)模并不突出，但 Bybit 一案（14.6 億美元） 的存在，揭示了這種攻擊手法的恐怖之處：它繞過(guò)了鏈上的智能合約防御，直接從基礎(chǔ)設(shè)施或代碼源頭進(jìn)行投毒。這種攻擊往往極難得手，可一旦成功滲透進(jìn)中心化巨頭的供應(yīng)鏈，其造成的后果就是毀滅性的「降維打擊」。 它不是最高頻的威脅，卻是懸在行業(yè)頭頂?shù)倪_(dá)摩克利斯之劍。

合約與協(xié)議漏洞則是黑客與項(xiàng)目方進(jìn)行正面對(duì)抗的主戰(zhàn)場(chǎng)。這是最常見(jiàn)的安全事件原因，63 起事件造成約 6.75 億美元損失。這是典型的「技術(shù)博弈」：黑客需要精通代碼邏輯，尋找數(shù)學(xué)或邏輯上的破綻。雖然單案破壞力不如 Bybit 那般驚世駭俗，但由于 DeFi 協(xié)議中沉淀了大量資金，只要攻破一點(diǎn)，往往就能獲得數(shù)百萬(wàn)至數(shù)千萬(wàn)美元的不當(dāng)?shù)美?/p>

相比之下，賬號(hào) / 前端攻擊更像是一種低成本的外圍騷擾。這一類(lèi)別雖有多達(dá) 57 起 的記錄（包括推特被黑、前端注入等），但記錄損失僅 1774 萬(wàn)美元。這類(lèi)攻擊通常利用流量劫持、釣魚(yú)鏈接等手段，技術(shù)門(mén)檻相對(duì)較低。雖然它們?cè)谏缃幻襟w上制造了最大的恐慌噪音，但由于無(wú)法直接觸動(dòng)鏈上金庫(kù)，其造成的實(shí)際損失往往止步于「皮外傷」。

此外，不可忽視的還有人的因素。跑路、內(nèi)鬼作惡以及私鑰泄露等同樣造成了不小的損失。管理永遠(yuǎn)應(yīng)該被重視，系統(tǒng)再完美，握著鑰匙的人，總是那個(gè)填不上的漏洞。

幣圈人士保命清單

別做幫黑客完成 KPI 的人，下文是讓你在 Web3 活得更久的保命清單。

1. 默認(rèn)官方也會(huì)騙人

看到「官方空投」、「緊急賠付」的鏈接，先別點(diǎn)！推特會(huì)被盜，Discord 會(huì)被黑，連總統(tǒng)都會(huì)發(fā)假幣。

去官網(wǎng)、去社群 交叉驗(yàn)證。多花 1 分鐘確認(rèn)，好過(guò)花 10 年回本。

2. 陌生項(xiàng)目，只用小號(hào)沖

不認(rèn)識(shí)的土狗、沒(méi)聽(tīng)過(guò)的 DApp，別用存大錢(qián)的主錢(qián)包去連！準(zhǔn)備一個(gè)只放幾百 U 的錢(qián)包去試水。

養(yǎng)成隔離習(xí)慣，炸也就炸個(gè)小號(hào)，大本營(yíng)毫發(fā)無(wú)傷。

3. 盡量避免無(wú)限授權(quán)，定期解除授權(quán)

沒(méi)有哪個(gè)協(xié)議值得你把身家性命交給它。授權(quán)額度用多少填多少，別為了省 Gas 填無(wú)限。

定期用 Revoke.cash 查一次，把那些很久不用的，看著眼生的授權(quán)全取消。

4. 慢簽名，多確定

面對(duì)小狐貍彈出的簽名框，別只會(huì)點(diǎn)確認(rèn)。三問(wèn)：這筆交易到底在干嘛？合約地址對(duì)不對(duì)？萬(wàn)一被盜，這筆損失我扛得住嗎？

有一個(gè)答不上來(lái)，就拒絕簽名。

5. 資金要分家，交易的歸交易，存錢(qián)的歸存錢(qián)

交易所放一點(diǎn)，鏈上錢(qián)包放一點(diǎn)，不同鏈再分散一點(diǎn)。交易賬戶 = 靈活取用的錢(qián)（放交易所 / 熱錢(qián)包），存錢(qián)賬戶 = 幾乎不動(dòng)的錢(qián)（放冷錢(qián)包 / 多簽）。

存錢(qián)賬戶永遠(yuǎn)不要去亂點(diǎn)鏈接、亂授權(quán)。分散不是為了賺更多，是為了哪怕一個(gè)地方雷了，你還能有籌 碼翻身。

記住，Web3 不缺機(jī)會(huì)，但缺永遠(yuǎn)在桌上的人。

以上就是當(dāng)黑客開(kāi)始狙擊：一文復(fù)盤(pán)2025年Web3十大至暗時(shí)刻的詳細(xì)內(nèi)容，更多關(guān)于2025年Web3十大至暗時(shí)刻復(fù)盤(pán)的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！