在迄今为止最大的加密货币盗窃案中，总部位于塞舌尔的交易所Bybit于2025年2月21日被与朝鲜有联系的黑客通过复杂的攻击手段盗走了约15亿美元的以太坊（ETH）。

Bybit的首席执行官周受宾确认的这一漏洞，标志着针对加密行业网络犯罪的重大升级，并提出了关于数字资产安全的关键问题。

让我们尝试对这次黑客攻击、所用的技术方法、区块链分析的角色、Lazarus 组织的参与以及对加密货币生态系统的广泛影响进行深入分析。

Bybit：加密市场中的重要参与者

Bybit成立于2018年，总部设在塞舌尔，以高交易量和多样化产品而著称，包括按当前市场价格买卖加密货币、利用杠杆推测未来价格变化、通过锁定资金支持区块链运营赚取奖励。

该交易所的用户友好界面和强大安全措施的声誉，例如多重签名（multi-sig）冷钱包和定期安全审计，吸引了全球用户群。这一声誉使得这次黑客事件特别令人震惊，因为它暴露了即使在最受信任的平台中也存在的漏洞。

发现黑客事件

这次黑客事件首先由链上分析师ZachXBT检测到，他在2025年2月21日上午10:20测定出从Bybit钱包的大量转出，总计14.6亿美元。

这些涉及401,347 ETH的转出立即引发了对潜在安全漏洞的担忧。在30分钟内，Bybit首席执行官周受宾在X（前称为Twitter）上确认了这一违规行为，称其为利用交易所多重签名冷钱包例行转移到热钱包的“伪装”交易攻击。

理解多重签名冷钱包及其安全性

什么是多重签名冷钱包？

多重签名（multi-sig）冷钱包是一种旨在通过要求多个私钥授权交易来增强安全性的加密货币存储。

与依赖单一密钥、较易被盗的单键钱包不同，多重签名钱包将控制权分散在多个参与者或设备之间。例如，2-3多重签名钱包需要三名指定签署者中的两名批准交易。

冷钱包是离线存储解决方案，意味着它们未连接到互联网，从而减少了网络攻击风险，例如黑客攻击或网络钓鱼。

Bybit的多重签名冷钱包设置需要多个签署者的批准，这是为了保护大量加密货币而采用的标准做法。

Bybit使用多重签名冷钱包是为了保护其大量ETH资产，使得这次攻击特别出人意料，并突显了攻击的复杂性。

黑客如何执行：技术细节

攻击者通过社交工程和先进的技术操纵规避了Bybit的多重签名安全措施。

以下是攻击的详细分析：

1. 通过社交工程获取初始访问

黑客，高度可能是与朝鲜Lazarus 组织有联系的，可能通过高级钓鱼技术获取初始访问，例如：

• 鱼叉式网络钓鱼邮件：设计用来诱骗员工或签署者泄露凭据或点击恶意链接的定向邮件。
• 假网站：模仿合法Bybit界面的钓鱼网站以捕获私钥或种子短语。
• 恶意软件感染：部署恶意软件以破坏签名者使用的系统或设备。

这些社交工程战术利用了人自身的错误，即便在最安全的系统中也存在的一个关键漏洞。

2. 通过伪装界面操纵交易

在从Bybit的ETH多重签名冷钱包到热钱包（更快交易的在线钱包）进行例行转移期间，攻击者执行了其漏洞。

黑客操控了签署接口——一个用户面对的组件，签署者在此批准交易。此接口被操控以显示合法交易地址，同时在基础智能合约逻辑中嵌入恶意代码。

签署者在不知情的情况下批准了看似正常的转移操作。然而，所批准的交易包含了改变该钱包控制机制的恶意代码。

3. 智能合约逻辑变更

嵌入在交易中的恶意代码利用交易批准过程中的漏洞。

所批准的交易变更了智能合约的逻辑，赋予攻击者对钱包的控制权。这使他们能够将401,347 ETH转到由其控制的一个未识别地址。

攻击并未破坏以太坊区块链或其智能合约，而是利用了Bybit内部验证和批准交易的流程。

4. 资金洗白和分散

在获得资金控制权后，攻击者迅速将被盗ETH分散到多个钱包中以模糊其踪迹。

这些ETH被分成1,000个ETH的份额，然后发送到超过40个不同的钱包中。

攻击者通过去中心化交易所（DEXs）将ETH兑换成其他加密货币或法币，这些平台缺乏中心化交易所的了解客户（KYC）要求，使得冻结或追回资金更加困难。

区块链分析和资金追踪

区块链分析公司在追踪被盗资金方面发挥了关键作用，尽管攻击者努力掩盖他们的行动。

参与的关键公司和工具包括：

• Elliptic：一家区块链分析公司，追踪了被盗ETH的分散和变现。Elliptic的软件分析交易模式和钱包地址以识别可疑活动。
• Arkham Intelligence：另一家分析公司，提供了对资金的实时跟踪，识别相关钱包和交易流动。
• Slow Mist的MistTrack：一种区块链取证工具，用于绘制被盗ETH在以太坊网络中的移动路线。MistTrack标记了测试交易和钱包模式，显示了Lazarus组织的策略。

尽管有这些努力，由于变现速度和规模，大部分资金的追回依然充满挑战。

攻击者使用去中心化交易所和混合器（用于混淆加密货币来源的工具）进一步复杂化了审查流程。

Lazarus 组织：黑客事件的幕后黑手

谁是Lazarus 组织？

Lazarus 组织是一个由国家赞助的朝鲜黑客集体，以策划高调网络犯罪而闻名，包括加密货币盗窃、勒索软件攻击、和间谍活动。

据信，该组织在朝鲜侦察总局的指导下运作，主要目的是为政权创造收入。

证据链接Lazarus到Bybit黑客事件

包括ZachXBT在内的区块链分析家通过一些指标将Bybit黑客事件与之前的Lazarus 组织剥削与联系起来。

• 测试交易：在主要攻击之前发送的小额转账，用于测试钱包功能，是Lazarus策略的标志。
• 相关钱包：用于Bybit黑客事件的钱包与之前比如Phemex攻击中所用钱包有关联。
• 取证图表与时间分析：交易时间和钱包活动的模式符合已知Lazarus行为。

Lazarus 组织的记录

Lazarus 组织有着长期的加密货币盗窃历史，值得注意的例子包括：

• Ronin Network黑客事件（2022年）：从Axie Infinity游戏平台盗走6亿美元的ETH和USDC。
• Phemex黑客事件（2024年）：通过类似技术和钱包模式与Bybit黑客事件有关联。
• 2024年总计：估计跨47次攻击中盗取了13.4亿美元，占当年所有非法加密活动的61%。

该组织的先进技术，例如零日漏洞（此前未知的漏洞）和复杂的社交工程，使它们对加密货币行业构成了巨大的威胁。

对Ethereum和加密生态系统的影响

以太坊的安全性

尽管黑客事件规模庞大，但以太坊本身并未受到破坏。

漏洞出在Bybit的内部流程中，而非以太坊区块链或其智能合约中。

以下是原因。

以太坊区块链，一个去中心化的交易分类账，保持安全。攻击没有利用区块链的共识机制（权益证明）或其智能合约系统中的缺陷。

泄露源于交易批准的操控，突显了加密货币管理中以人类为中心的流程的风险。

尽管智能合约代码本身并未被攻击，但通过伪装界面操控批准流程引发了对多重签名钱包中用户界面和交易签名机制安全性的担忧。

更广泛市场影响

黑客事件对加密货币市场产生了立即和连锁反应。

在确认黑客事件后，ETH价格下跌超过3％，反映出波动加剧。

漏洞事件与ETHDenver这一通常对ETH看涨的大型以太坊生态会议时间重合，给会议投下了看跌阴影。

事件削弱了人们对集中交易所的信任，促使用户质疑其资产的安全性，并增加了对去中心化金融（DeFi）解决方案的兴趣。

当然，迄今为止最大的一次黑客攻击正好在牛市期间发生，这一点不容忽视。

Bybit的响应和恢复努力

Bybit迅速的响应帮助缓解了恐慌，并展示了其运营的韧性。 Content: 该交易所处理了超过58万次提币请求，确保用户可以访问他们的资金。

Bybit还获得了桥接贷款以弥补损失，让用户对其偿付能力放心。该交易所启动了一项计划，向帮助追回被盗ETH的道德黑客提供高达10%的追回资金。

这些措施虽然积极主动，却也突显了在此类大规模黑客事件中追回资金的挑战，特别是考虑到攻击者的洗钱技术。

未来的预防措施

为避免类似的黑客攻击，专家建议基于行业最佳实践和Bybit事件的见解采取一整套全面的安全措施。

1. 多因素认证 (MFA)

要求交易审批的多个验证层，例如：

• 生物特征认证：指纹或面部识别。
• 硬件令牌：生成一次性代码的实体设备。
• 基于时间的一次性密码 (TOTP)：例如Google Authenticator应用程序的临时代码。

2. 安全通信渠道

使用加密和经过验证的渠道进行所有与交易相关的通信，例如：

• 端到端加密电子邮件：使用ProtonMail或Signal这类工具进行安全消息传递。
• 专用安全门户：内部系统用于交易批准，与外部威胁隔离。

3. 定期安全审计

进行频繁的评估和渗透测试以识别漏洞：

• 第三方审计：聘请信誉良好的公司审查安全协议。
• 模拟攻击：测试系统抵御网络钓鱼、恶意软件和社会工程场景的能力。

4. 员工培训

教育员工识别社会工程威胁，例如：

• 针对性网络钓鱼意识：培训员工识别可疑的电子邮件或链接。
• 凭据卫生：避免重复使用密码或不安全地存储密钥。

5. 多元化资产管理

将资金分散在多个钱包中以限制风险：

• 冷钱包和热钱包余额：将大部分资金保存在冷存储中，热钱包中仅保留用于日常操作的少量资金。
• 多签分配：为不同的资产池使用不同的多签配置。

6. 异常检测系统

实施工具以检测并提醒异常交易模式，例如：

• 机器学习模型：识别与正常活动的偏差，如异常时间的大额转账。
• 实时报警：通知安全团队可疑的资金外流。

7. 保持对威胁的更新

不断更新安全措施以应对新兴的网络威胁：

• 威胁情报源：订阅追踪新攻击向量的服务。
• 零日攻击防御：及时部署补丁和更新，以解决新发现的漏洞。

这些措施尤为重要，特别是考虑到Lazarus Group使用的先进技术，其中包括零日漏洞利用、复杂的社会工程和快速资金洗钱。

结论：对加密货币行业的教训

Bybit的黑客事件，是历史上最大规模的加密货币盗窃案，突显了行业面临的持久安全挑战，特别是来自Lazarus Group这样国家支持的行为者。

虽然以太坊仍然安全，但该事件强调了对于保护数字资产，强大的内部流程、先进的网络安全措施和持续警惕性的必要性。

随着加密货币生态系统的发展，交易所必须优先考虑用户信任和运营韧性，以有效应对此类危机。

Bybit的漏洞成为一个鲜明的提醒，即使是最安全的平台也可能容易受到人为错误和复杂攻击的威胁，强调分层安全的重要性，以及行业范围的合作，以打击网络犯罪。