Gate Research 最新的 Web3 行业安全报告，2 月份发生了 15 起安全事件，损失总额为 16.76 亿美元。事件类型多样化，其中账号被黑与合约漏洞是主要威胁，占损失总额的 58.3%。报告还对关键安全事件进行了详细分析，包括 Bybit 交易所遭遇钱包被盗、 Infini 缺乏严格的权限控制、zkLend 遭遇合约漏洞。帐户黑客攻击与合约漏洞被确定为本月的主要安全风险，突显了行业不断加强安全措施的必要性。

摘要

• 2025 年 2 月，Web3 行业发生了 15 起安全事件，损失总额为 16.76 亿美元，较上月大幅上升。
• 本月的安全事件主要涉及合约漏洞、账号被黑等攻击方法，占加密行业安全事件总损失的 53.3%。
• 以安全事件各链分布来看，本月有三个项目的损失发生在公链 BSC 。
• 本月的重大事件包括 Bybit 交易所遭遇钱包被盗（损失 15 亿美元）、Infini 缺乏严格的权限控制（损失 5,000 万美元）以及 ionic 遭遇社会工程攻击（损失 1,230 万美元）。

安全事件概述

根据 Slowmist 的数据，2025 年 2 月记录了 15 起安全事件，损失总额为 16.76 亿美元。攻击主要涉及合约漏洞、帐号黑客攻击和其他方法。与 2025 年 1 月份相比，总损失金额环比增长 18 倍。合约漏洞与账号被黑是攻击的主要原因，共出现 8 次相关的黑客攻击，占总数的 53.3%。官方 X 帐户仍然是黑客的主要目标。【1】

本月公链生态安全事件分布显示，BankX、Cashverse、Four.Meme 三个发生安全事件的项目均为 BSC 生态，累计损失超过 33 万美元。这一系列安全事件表明，公链生态项目的安全性亟需加强。面对频繁发生的攻击和漏洞，BSC 应更加重视智能合约审计、风控机制和链上监测手段，提升整体安全标准。

本月有几个区块链项目遭遇重大安全事故，导致重大财务损失。值得注意的事件包括 Bybit 交易所遭遇钱包被盗损失 15 亿美元、Infini 缺乏严格的权限控制损失 5,000 万美元、zkLend 遭遇合约漏洞损失 960 万美元。

二月的重大安全事件

根据官方披露，以下项目 2 月份遭受的损失超过 15.6 亿美元。缺乏严格的权限控制和钱包被盗是两个最主要的威胁。

• Bybit 遭遇 15 亿美元资金流出，疑似由朝鲜黑客组织 Lazarus Group 通过篡改 Safe{Wallet} 前端代码并伪造签名界面，绕过 Bybit 多重签名机制，控制其以太坊冷钱包。
• Infini 遭遇 5,000 万美元的损失，由于缺乏严格的权限控制，攻击者成功获取了一个拥有管理员权限的钱包，并利用该权限进行未授权操作。
• ionic 遭遇 1,230 万美元资金损失，攻击者部署了伪造的 Lombard BTC（LBTC）代币合约，并将其作为抵押品在 ionic 平台上借出多种资产。

Bybit

项目概况：Bybit 成立于 2018 年 3 月，是一家领先的加密货币交易所。Bybit 以创新技术和卓越交易体验著称，并致力于成为新兴数字资产市场中最值得信赖的交易所。

事件概况：
Bybit 于 2 月 21 日因钱包被盗损失 49.9 万枚 ETH，约 15 亿美元，创下加密行业史上最大单次盗窃记录。调查显示，此次攻击疑似由朝鲜黑客组织 Lazarus Group 发起，其主要手法是篡改 Safe{Wallet} 前端代码，并伪造签名界面，从而绕过 Bybit 的多重签名机制，最终控制其以太坊冷钱包，将大量资金转移至匿名地址。

据慢雾安全团队分析，黑客先是提前部署恶意合约，随后入侵 Safe{Wallet} 服务器，篡改前端代码，替换 JavaScript 文件，使用户在构建交易时，实际上签署的是被植入恶意逻辑的交易。借助这一手法，攻击者成功绕过 Bybit 的多重签名验证机制，完成资金盗取。【2】【3】

事故后反思：

• 升级多签钱包安全架构：升级 Safe 合约至 1.3.0 或更高版本，启用 Guard 机制，严格限制交易权限；并采用多签+MPC+HSM 冷钱包存储 90% 以上资产，热钱包限额动态调整，结合分片与地理分布存储密钥，避免单点突破导致全局损失。
• 提升账户安全性，防范未经授权访问：启用双重身份验证（2FA）、启用地址白名单功能，结合 AI 交易行为监测，防止黑客未经授权访问账户。
• 推动行业间安全联盟：建立黑客攻击情报库，推动交易所、链上分析公司与 DeFi 平台安全联盟，形成快速响应机制，减少黑客逃逸空间。

Infini

项目概况：
Infini 是一家专注于加密货币的稳定币新型银行，该公司采用智能合约和区块链技术，为用户提供去中心化的金融服务，支持存款、借贷、支付等功能。

事件概况：
Infini 于 2 月 24 日由于缺乏严格的权限控制，攻击者成功获取了一个拥有管理员权限的钱包，并利用该权限进行未授权操作，窃取了近 5,000 万美元的资金。其中，智能合约缺乏严格的权限管理是导致攻击者能直接控制关键操作，以及管理员账户未采取足够的多重签名或权限隔离措施，使得单一钱包被攻破后可操控整个系统。【4】

事故后反思：

• 加强权限管理：实施多重签名，确保关键交易需要多个私钥签署，而不是由单一管理员账户控制。
• 增强安全机制：升级智能合约安全，使用去中心化治理机制，减少对单一管理员账户的依赖。
• 代码审计并启用实时监控系统：聘请专业的区块链安全公司（如 CertiK、SlowMist）对智能合约进行全面审计，并监测异常资金流动，并在可疑活动发生时自动冻结资金。

ionic

项目概况：
ionic 是基于 Mode 生态的借贷协议，提供无需许可的流动性市场，允许用户使用多种资产作为抵押品进行借贷，依托 Mode 低费用、可扩展的特性，吸引了大量 DeFi 用户。

事件概况：
ionic 于 2 月 5 日遭遇社会工程攻击，损失约 880 万美元。攻击者部署了伪造的 Lombard BTC（LBTC）代币合约，并将其作为抵押品在 ionic 平台上借出多种资产，包括 MBTC、uniBTC、wrsETH、WETH 和 STONE 等。初始资金仅为 0.01 ETH，攻击者通过这种方式非法获取了大量资产，并通过 Tornado Cash 进行洗钱操作。【5】

事故后反思：

• 加强抵押资产验证：对所有非主流抵押品实行链上资产认证，通过预言机与信誉评分机制过滤潜在欺诈代币。
• 智能合约增加白名单机制：限制仅允许官方认可的资产作为抵押品，并采用动态风险评分，防止恶意合约伪造资产抵押。
• 实时监控与预警系统：建立实时监控机制，及时检测异常活动并迅速响应。

小结

2025 年 2 月，多个 DeFi 和 CeFi 平台遭遇安全漏洞攻击项目，总计损失数亿美元的资产。这些事件包括 Bybit 交易所遭遇黑客攻击、Infini 缺乏严格的权限控制、ionic 遭遇社会工程攻击。这些事件暴露了加密货币平台在安全性、智能合约代码审计以及风险管理方面的关键风险。行业内亟需加强智能合约审计、引入实时监控和多层防护机制，以增强平台的安全性和用户信任。Gate.io 提醒用户关注安全动态，并加强个人资产保护。


参考资料：

1. Slowmist,https://hacked.slowmist.io/zh/statistics
2. X,https://x.com/benbybit/status/1894768736084885929
3. SlowMist,https://slowmist.medium.com/slowmist-hacker-techniques-and-questions-behind-bybits-nearly-1-5-billion-theft-09f0b59da2e2
4. X,https://x.com/0xinfini/status/1893973307596435871
5. X,https://x.com/wublockchain12/status/1886953752973992438

Gate 研究院
Gate 研究院是一个全面的区块链和加密货币研究平台，为读者提供深度内容，包括技术分析、热点洞察、市场回顾、行业研究、趋势预测和宏观经济政策分析。

点击链接立即前往

免责声明
加密货币市场投资涉及高风险，建议用户在做出任何投资决定之前进行独立研究并充分了解所购买资产和产品的性质。 Gate.io 不对此类投资决策造成的任何损失或损害承担责任。