一、40万ETH蒸发：一场精心策划的供应链攻击
2025年2月21日晚间，全球排名前列的加密货币交易所Bybit遭受了一次史无前例的黑客攻击。攻击者在短短时间内，将从以太坊冷钱包中窃取的近14.6亿美元资产——包括超过40万枚ETH和stETH——转移到了数百个攻击者控制的钱包地址中。这一数字使其成为Web3.0历史上单次攻击损失最高的安全事件。
与传统的智能合约漏洞利用或私钥窃取不同，此次攻击的手法展现出了极高的技术水平和战略耐心。据链上分析和安全团队的调查，攻击者选择了一条迂回但致命的攻击路径——供应链攻击。
攻击者的真正目标是Safe{Wallet}（前身为Gnosis Safe），这是加密货币行业广泛使用的冷钱包多签管理软件。Bybit的以太坊冷钱包正是基于Safe{Wallet}进行资产管理和多签授权。通过入侵Safe{Wallet}开发者的设备，攻击者获得了在软件中植入后门代码的能力。
二、"界面欺骗"：精密的攻击机制
此次攻击最令人不寒而栗的环节，是其精心设计的"界面欺骗"机制。
攻击者在Safe{Wallet}软件中植入了一个后门合约，其核心功能是篡改GnosisSafe合约的实现地址。这一篡改产生了一个极其隐蔽的欺骗效果：当Bybit的签名者在Safe{Wallet]界面上审核交易时，屏幕上显示的确实是合法的交易信息——收款地址、金额、Gas费用等一切看起来都完全正常。
然而，在后台，攻击者通过篡改后的合约实现，向连接在电脑上的Ledger硬件钱包发送了完全不同的数据。硬件钱包的屏幕本应是交易安全的最后一道防线，但由于攻击发生在软件层——在数据到达硬件钱包之前就已经被篡改——Ledger显示的信息同样经过了伪装。
结果就是：Bybit的员工在完全不知情的情况下，亲手用自己的签名权限为恶意交易签了字。每一次签名都看起来是在执行一笔正常的资产转移，实际上却是在将数十亿美元的资产送入攻击者的口袋。
这种攻击方式揭示了一个令人不安的现实：当攻击者能够同时欺骗软件界面和硬件设备时，传统的安全验证体系——多签、硬件确认、界面审查——全部失效。
三、市场震荡：从链上到链下的连锁反应
Bybit被盗事件的消息传出后，加密货币市场经历了剧烈震荡。
市场对如此大规模的资金外流产生了恐慌情绪，主要加密货币价格在短时间内大幅下跌。据链上数据统计，事件发生后的24小时内，全网超过15万人被强制平仓，爆仓金额超过4.56亿美元。杠杆交易者成为了此次事件的间接受害者。
Bybit的CEO在事件发生后迅速发布声明，确认被盗资产来自以太坊冷钱包，并强调交易所的热钱包和其他链上资产未受影响，用户的提款功能保持正常。Bybit承诺将自行承担此次损失，不会影响用户资产安全。
然而，14.6亿美元的损失规模仍然让市场对中心化交易所的安全保障能力产生了深刻质疑。这不仅是Bybit一家的危机，更是整个行业信任体系面临的一次严峻考验。
四、归因Lazarus：国家级攻击者的阴影
安全研究社区在事件发生后迅速展开了归因分析。多个独立团队通过链上行为模式、恶意代码特征和基础设施重叠等线索，将此次攻击指向了Lazarus Group——一个与朝鲜政府关联的黑客组织。
Lazarus Group并非加密货币安全领域的新面孔。该组织此前已被确认参与了多起重大加密货币盗窃事件，包括2022年的Ronin Bridge攻击（6.25亿美元）和2023年的Atomic Wallet攻击（超过3500万美元）。该组织以高度耐心、技术复杂和国家级资源支持著称，其攻击目标往往选择具有最大资产集中的节点。
此次攻击 Safe{Wallet}的策略与Lazarus Group的一贯手法高度一致：不直接攻击目标交易所的防御体系，而是寻找供应链中的薄弱环节，通过"攻其一点、辐射全局"的方式实现目标。对开发者设备的入侵表明，攻击者在发动最终攻击之前，已经进行了长期的情报收集和渗透准备。
五、行业反思：冷钱包安全的结构性挑战
Bybit事件对整个加密货币行业敲响了警钟，其暴露出的问题具有深层的结构性：
供应链安全盲区。行业过度依赖少数核心基础设施（如Safe{Wallet}），却缺乏对这些基础设施的充分安全审计和监控。当一个多签管理工具被数十亿美元的资产管理方所使用时，它本身就成为了最高价值的攻击目标。
硬件信任假设的脆弱性。Ledger等硬件钱包的安全模型建立在"硬件显示不可被软件篡改"的假设之上。但当攻击发生在软件与硬件之间的数据传输层时，这一假设就不再成立。行业需要重新审视人机交互界面的完整性验证机制。
多签机制的局限性。多签旨在防止单点故障，但当所有签名者面对的是同一个被篡改的界面时，多签本身也无法提供保护。安全机制的有效性取决于其运行的底层环境是否可信。
响应与追回。事件发生后，链上追踪团队迅速标记了攻击者的钱包地址。但加密货币的匿名性和跨链桥的广泛使用，使得资产追回极为困难。Lazarus Group历史上成功洗白了大部分被盗资产，这一次恐怕也不会例外。
Bybit 14.6亿美元的损失不仅仅是一个数字，它是整个Web3.0安全基础设施的一次压力测试——而测试的结果表明，行业距离真正的安全还有很长的路要走。当攻击者能够欺骗人类的眼睛和硬件的信任时，技术防线需要被重新定义。
参考来源：Bybit官方公告、Safe{Wallet}安全报告、Arkham Intelligence链上分析、The Block、CoinDesk