當黑客開始狙擊：一文復盤2025年Web3十大至暗時刻
你以為躲過了土狗歸零，躲過了交易所插針，你的資產(chǎn)就安全了嗎？答案可能比你想象的要殘酷得多。
站在 2025 年的歲末回望，如果只看 K 線圖，今年的故事似乎依舊是熟悉的牛熊輪轉(zhuǎn)、起伏不定。但在價格曲線的背面，還有另一條更為驚心動魄的軌跡。這一年，黑客們的獵殺變得更加精準且致命。根據(jù)慢霧區(qū)塊鏈被黑檔案庫及其他網(wǎng)絡來源的不完全統(tǒng)計，截至 12 月 15 日，全年鏈上及加密相關(guān)安全事件達 189 起，累計損失高達約 26.89 億美元。
數(shù)據(jù)全景
時間上，今年致命的「重磅炸彈」大多在第一季度被引爆，而后三個季度，行業(yè)則更多面臨著中小型安全事故的持續(xù)騷擾。
Q1 共發(fā)生 68 起事件，披露損失約 16.58 億美元，是全年數(shù)量和金額都最高的季度，其中包括 Bybit 在內(nèi)的十億美元級事件，使這一時期的記錄遠高于其他季度。
Q2 記錄 52 起事件，損失約 4.65 億美元；Q3 為 38 起事件，損失約 3.28 億美元；Q4 截至 12 月 15 日時錄得 31 起事件，損失約 2.38 億美元。
金額上，在所有披露損失的 127 起事件中，約一半（62 起） 的案值不足 100 萬美元。這些占據(jù)了半壁江山的「小案子」，合計損失約 1,437 萬美元，在年度總損失中的占比微乎其微（0.53%）。真正的危機，被高度壓縮在金字塔的頂端。
包括 Bybit 在內(nèi)的 3 起億級大案，雖然數(shù)量占比不足 3%，合計案值卻高達約 18.11 億美元，占全年的 67.35%。尤其是 Bybit 這一起孤例，單案損失高達 14.6 億美元，一家就占年度損失的一半以上（54.29%）。對于黑客而言，攻擊 100 個中小項目，遠不如完成一次對頂級目標的「單點爆破」來得暴利。
其余損失位于 100 萬至 1000 萬美元區(qū)間的事件有 42 起，占 33.07%，累計損失約 1.92 億美元，占 7.15%。在 1000 萬至 5000 萬美元區(qū)間共有 15 起事件，占 11.81%，損失約 3.37 億美元，占 12.54%。5000 萬至 1 億美元的事件有 5 起，占 3.94 %，累計損失約 3.34 億美元，占 12.42%。
2025 年度十大安全事件
筆者按披露損失金額，篩選出了全年最為慘烈的十大核心案件。這十起事故雖然只占案發(fā)總數(shù)的極小比例，卻合計貢獻了全年絕大多數(shù)的被盜金額。
1. Bybit 供應鏈攻擊：14.6 億美元的幽靈簽名
- 時間: 2025 年 2 月 21 日
- 攻擊手法: 供應鏈攻擊
這是 Web3 歷史上規(guī)模最大的單次黑客攻擊，根據(jù)鏈上偵探 ZachXBT 及官方取證報告，本次攻擊并非直接破解了 Bybit 的私鑰，而是疑似臭名昭著的朝鮮黑客組織 Lazarus Group 實施的一次供應鏈投毒。攻擊者通過社會工程學手段入侵了多簽服務商 Safe Wallet 開發(fā)人員的電腦，植入了惡意代碼。
當 Bybit 團隊執(zhí)行常規(guī)的冷熱錢包歸集操作時，被篡改的前端 UI 實施了視覺欺騙：屏幕上顯示的是正常的轉(zhuǎn)賬地址，然而底層的智能合約邏輯已被悄悄替換為惡意后門。 這導致 Bybit 在毫不知情的情況下，親手簽署了將 49.9 萬枚 ETH 轉(zhuǎn)移給黑客的交易。
但事件發(fā)生后，Bybit 迅速公開直播并發(fā)布說明，為阻斷攻擊擴散，Bybit 第一時間暫停受影響錢包交互，同時保持平臺提現(xiàn)與存款功能正常運行，避免因恐慌造成擠兌，只部分提現(xiàn)因流量激增可能延遲。同時其確認此次僅涉及其中一個 ETH 冷錢包，其余資產(chǎn)保持安全，并強調(diào)平臺儲備充足，將全額承擔用戶損失，確保用戶資金 1:1 安全。
2. Cetus 合約漏洞：2.6 億美元的 DeFi 數(shù)學陷阱
- 時間: 2025 年 5 月 22 日
- 攻擊手法: 合約漏洞
Cetus 是 SUI 公鏈生態(tài)中的重要流動性提供協(xié)議。事后分析發(fā)現(xiàn)，Cetus 的智能合約在處理特定參數(shù)時存在數(shù)學庫精度問題（overflow check 缺陷）。
黑客利用該邏輯缺陷，通過壓低池內(nèi)價格，在高價區(qū)建倉，隨后利用溢出漏洞，僅以極小的代幣成本就向池內(nèi)注入了虛高的流動性，最終像變魔術(shù)一樣掏空了價值 2.6 億美元的資產(chǎn)。但這起事件的高 潮不僅攻擊本身，還涉及后續(xù)的救援行動。在黑客得手并將部分資金跨鏈轉(zhuǎn)移后，Sui 驗證節(jié)點迅速識別并鎖定了攻擊者留在鏈上的約 1.62 億美元 資產(chǎn)。
為了奪回這筆巨款，Sui 社區(qū)通過了一項極具爭議的升級提案：Sui 官方支持通過硬編碼的方式，在協(xié)議升級中加入兩筆特殊交易，直接將黑客地址中的資產(chǎn)強行劃轉(zhuǎn)至由 Cetus、Sui 基金會和安全公司共同管理的多簽錢包。提案獲得通過，1.62 億美元被成功「沒收」并用于賠付用戶，配合基金會的貸款，Cetus 最終實現(xiàn)了對受損用戶的全額賠付。雖然是保護受害者的正義之舉，但也打破了「不可篡改」的區(qū)塊鏈金身。
3. Balancer 邏輯漏洞：1.28 億美元的取整謬誤
- 時間: 2025 年 11 月 3 日
- 攻擊手法: 邏輯漏洞
作為老牌 DeFi 協(xié)議, Balancer 在 V2 上依然因為邏輯漏洞遭遇重創(chuàng)。據(jù)分析，漏洞源于極其隱蔽的四舍五入方向錯誤，當處理包含非整數(shù)縮放因子的 EXACT_OUT 兌換時，協(xié)議錯誤地執(zhí)行了向下取整。
攻擊者敏銳地捕捉到了這一毫厘之差，結(jié)合批量兌換功能反復套利，最終將以太坊、Arbitrum、Avalanche 等多條鏈上的資金池洗劫一空，損失總額高達 1.28 億美元。此次攻擊迅速引發(fā)了「多米諾骨牌效應」：為防止漏洞波及自身的 BEX，Berachain 不惜通過緊急硬分叉的方式暫停網(wǎng)絡運行；StakeWise、Beets 等依賴 Balancer 流動性的協(xié)議蒙受重創(chuàng)。
4. Nobitex 遭國家級打擊：9000 萬美元的數(shù)字地緣沖突
- 時間: 2025 年 6 月 18 日
- 攻擊手法: 未明
Nobitex 事件在官方披露時, 僅給出資金損失與業(yè)務影響的粗略說明。事件發(fā)生在伊朗與以色列爆發(fā) 12 天軍事沖突的敏感時期。攻擊者 Predatory Sparrow 并沒有試圖掩蓋蹤跡或清洗資金，而是將這些錢轉(zhuǎn)移到了通過暴力 破解生成的羞辱性地址中（地址后綴包含反伊朗革命衛(wèi)隊 IRGC 的口號）。
這種做法直接導致這些資金既無法被使用，也無法被追回，相當于在鏈上制造了一片「數(shù)字焦土」。其目的非常明確：不是為了錢，而是為了癱瘓伊朗的金融生命線，羞辱對手。此次攻擊還導致了 Nobitex 源代碼的泄露，揭開了伊朗加密經(jīng)濟的「雙面性」：代碼顯示，Nobitex 內(nèi)置了供執(zhí)法部門使用的「后門」，允許在無搜查令的情況下監(jiān)控普通用戶；同時，它又為 VIP（通常是受制裁的高官或?qū)嶓w）設計了專門的隱私保護邏輯，幫助其規(guī)避國際制裁和反洗錢審查。
5. UPCX 權(quán)限失竊：7000 萬美元的流動性死局
- 時間: 2025 年 4 月 1 日
- 攻擊手法: 私鑰泄露 / 惡意升級合約
這是一場看似驚天動地、實則進退兩難的黑客行動。4 月 1 日，Cyvers 監(jiān)測到支付公鏈 UPCX 的管理賬戶出現(xiàn)異常。
攻擊者疑似獲取了管理員權(quán)限，通過升級 ProxyAdmin 合約并調(diào)用 withdrawByAdmin 函數(shù)，從三個管理賬戶中一口氣提走了 1840 萬枚 UPC，賬面價值高達 7000 萬美元。但根據(jù) CoinGecko 數(shù)據(jù)，UPCX 當時的市場流通量僅為約 400 萬枚。這意味著，黑客手中掌握的代幣數(shù)量是全市場流通總量的 4.6 倍。
6. Phemex 熱錢包失守：7000 萬美元的多鏈掃蕩
- 時間: 2025 年 1 月 23 日
- 攻擊手法: 未知途徑熱錢包私鑰泄露
1 月 23 日，新加坡交易所 Phemex 遭遇大規(guī)模網(wǎng)絡攻擊，損失高達 7000 萬美元。據(jù)安全機構(gòu)分析，幕后黑手極有可能是朝鮮相關(guān)黑客組織 TraderTraitor。攻擊者展現(xiàn)了極高的專業(yè)度與執(zhí)行力：不僅同時在 ETH、Solana、Polkadot 等多條公鏈上通過至少 8 個地址轉(zhuǎn)移資產(chǎn)，更在操作上極具針對性。
攻擊者優(yōu)先將 USDC、USDT 等可凍結(jié)資產(chǎn)兌換為 ETH，隨后連價值僅幾百美元的小幣種也一并打包帶走。事后，Phemex 依托其約 18 億美元的儲備金啟動賠付并恢復服務，暫時穩(wěn)住了平臺運營。
7. BtcTurk 熱錢包失守：5400 萬美元的二度折戟
- 時間: 2025 年 8 月 14 日
- 攻擊手法: 熱錢包私鑰泄露
對于土耳其最大的加密交易所 BtcTurk 來說，此次事件是一場似曾相識的噩夢。事件發(fā)生 14 個月前，該交易所曾因熱錢包被盜 5500 萬美元而導致管理層大換血。然而悲劇卻再次重演，其熱錢包再次被攻破，黑客輕松獲取了獲取 7 條區(qū)塊鏈的私鑰權(quán)限，卷走約 5400 萬美元。
這起案件最令人唏噓的不是金額，而是重蹈覆轍。連續(xù)兩次被盜均源于熱錢包私鑰管理不善，對于用戶而言這是最壞的消息，因為你永遠不知道平臺是否真的吸取了教訓，還是僅僅在等待下一次被盜。
8. Infini 權(quán)限失竊：5000 萬美元的賭徒施盜
- 時間: 2025 年 2 月 24 日
- 攻擊手法: 內(nèi)鬼作案
起初，團隊試圖通過鏈上喊話并提供 20% 賞金來招安黑客，但隨著調(diào)查深入，一個令人震驚的真相浮出水面：這并非外部入侵，而是核心工程師的「監(jiān)守自盜」。
根據(jù)網(wǎng)絡流傳的法院披露文件，第一被告 Chen Shanxuan（Infini 核心合約工程師）利用職務之便，在部署合約時保留了 Super Admin 最高權(quán)限，卻對團隊謊稱已移交至多簽。被告因長期沉迷高倍數(shù)合約交易和網(wǎng)絡賭bo，背負了巨額債務。在案發(fā)前，他曾多次向同事借錢，甚至接觸地下 錢莊。
在債務壓力的逼迫下，他動用了權(quán)限，將金庫中的 5000 萬美元洗劫一空。他將 USDC 換成 DAI 再換成 ETH，試圖通過混幣洗白。這種基于信任的「草臺班子」管理，再次印證了加密價值觀之一：Don『t Trust, Verify！
9. CoinDCX 管理漏洞：接私活接出的 4420 萬美元大鍋
- 時間: 2025 年 7 月 19 日
- 攻擊手法: 內(nèi)部威脅
印度頭部交易所 CoinDCX 遭遇了一場荒誕的「內(nèi)鬼」危機。黑客在凌晨先進行了一筆 1 USDT 的微小測試，隨即如決堤般卷走了價值 4420 萬美元 的資產(chǎn)。警方調(diào)查迅速鎖定了公司員工 Rahul Agarwal 并將其逮捕。
調(diào)查顯示，Agarwal 長期違規(guī)使用公司配發(fā)的筆記本電腦「接私活」，在過去一年里賺取了約 1.8 萬美元的外快。但這臺公物私用的電腦最終成為了外部黑客滲透內(nèi)網(wǎng)的特洛伊木馬。員工終端安全（Endpoint Security）與行為規(guī)范，是交易所絕對不能忽視的隱形防線。
10. GMX 管理漏洞：4200 萬美元越修越漏的回旋鏢
- 時間：2025 年 7 月 15 日
- 攻擊手法：重入攻擊 / 補丁引入漏洞
去中心化衍生品交易協(xié)議 GMX V1 遭遇了智能合約攻擊中古老且經(jīng)典的「重入攻擊」漏洞，重入攻擊即利用合約邏輯的時間差，在系統(tǒng)完成最終記賬之前，強行「插隊」再次發(fā)起調(diào)用，如本案中黑客卡在系統(tǒng)更新持倉數(shù)量和平均價格之間的間隙發(fā)起攻擊，迫使系統(tǒng)錯誤使用舊價格計算資產(chǎn)價值。
然而諷刺的是，這個致命漏洞，是 GMX 團隊在 2022 年緊急修復某個 Bug 時候自己引入的。在未經(jīng)充分審計的情況下，這顆埋了三年的雷終于被引爆。幸運的是，最終黑客同意白帽協(xié)議談判，歸還了大部分資金。
攻擊手段
若按攻擊手段拆解，我們會發(fā)現(xiàn)黑客對 Web3 的入侵就像一場分層級的「立體戰(zhàn)爭」。不同的攻擊手法，折射出完全不同的技術(shù)深度與破壞邊界。
供應鏈攻擊展示了極為可怕的破壞力上限。盡管該類別全年僅記錄 4 起，且其中 3 起的損失規(guī)模并不突出，但 Bybit 一案（14.6 億美元） 的存在，揭示了這種攻擊手法的恐怖之處：它繞過了鏈上的智能合約防御，直接從基礎設施或代碼源頭進行投毒。這種攻擊往往極難得手，可一旦成功滲透進中心化巨頭的供應鏈，其造成的后果就是毀滅性的「降維打擊」。 它不是最高頻的威脅，卻是懸在行業(yè)頭頂?shù)倪_摩克利斯之劍。
合約與協(xié)議漏洞則是黑客與項目方進行正面對抗的主戰(zhàn)場。這是最常見的安全事件原因，63 起事件造成約 6.75 億美元損失。這是典型的「技術(shù)博弈」：黑客需要精通代碼邏輯，尋找數(shù)學或邏輯上的破綻。雖然單案破壞力不如 Bybit 那般驚世駭俗，但由于 DeFi 協(xié)議中沉淀了大量資金，只要攻破一點，往往就能獲得數(shù)百萬至數(shù)千萬美元的不當?shù)美?/p>
相比之下，賬號 / 前端攻擊更像是一種低成本的外圍騷擾。這一類別雖有多達 57 起 的記錄（包括推特被黑、前端注入等），但記錄損失僅 1774 萬美元。這類攻擊通常利用流量劫持、釣魚鏈接等手段，技術(shù)門檻相對較低。雖然它們在社交媒體上制造了最大的恐慌噪音，但由于無法直接觸動鏈上金庫，其造成的實際損失往往止步于「皮外傷」。
此外，不可忽視的還有人的因素。跑路、內(nèi)鬼作惡以及私鑰泄露等同樣造成了不小的損失。管理永遠應該被重視，系統(tǒng)再完美，握著鑰匙的人，總是那個填不上的漏洞。
幣圈人士保命清單
別做幫黑客完成 KPI 的人，下文是讓你在 Web3 活得更久的保命清單。
1. 默認官方也會騙人
看到「官方空投」、「緊急賠付」的鏈接，先別點！推特會被盜，Discord 會被黑，連總統(tǒng)都會發(fā)假幣。
去官網(wǎng)、去社群 交叉驗證。多花 1 分鐘確認，好過花 10 年回本。
2. 陌生項目，只用小號沖
不認識的土狗、沒聽過的 DApp，別用存大錢的主錢包去連！準備一個只放幾百 U 的錢包去試水。
養(yǎng)成隔離習慣，炸也就炸個小號，大本營毫發(fā)無傷。
3. 盡量避免無限授權(quán)，定期解除授權(quán)
沒有哪個協(xié)議值得你把身家性命交給它。授權(quán)額度用多少填多少，別為了省 Gas 填無限。
定期用 Revoke.cash 查一次，把那些很久不用的，看著眼生的授權(quán)全取消。
4. 慢簽名，多確定
面對小狐貍彈出的簽名框，別只會點確認。三問：這筆交易到底在干嘛？合約地址對不對？萬一被盜，這筆損失我扛得住嗎？
有一個答不上來，就拒絕簽名。
5. 資金要分家，交易的歸交易，存錢的歸存錢
交易所放一點，鏈上錢包放一點，不同鏈再分散一點。交易賬戶 = 靈活取用的錢（放交易所 / 熱錢包），存錢賬戶 = 幾乎不動的錢（放冷錢包 / 多簽）。
存錢賬戶永遠不要去亂點鏈接、亂授權(quán)。分散不是為了賺更多，是為了哪怕一個地方雷了，你還能有籌 碼翻身。
記住，Web3 不缺機會，但缺永遠在桌上的人。
以上就是當黑客開始狙擊：一文復盤2025年Web3十大至暗時刻的詳細內(nèi)容，更多關(guān)于2025年Web3十大至暗時刻復盤的資料請關(guān)注腳本之家其它相關(guān)文章！
你可能感興趣的文章
-
$RAVE TGE倒計時：當蹦迪成為鏈上經(jīng)濟行為，Web3破圈時刻真正到來
RaveDAO 正在加速成長為一個以娛樂為驅(qū)動力構(gòu)建開放型文化生態(tài)，引領(lǐng) Web3 真正走向落地與破圈的關(guān)鍵基礎設施，本給大家詳細介紹了RAVE TGE倒計時,需要的朋友可以參考下…
2025-12-11 -
潮水退去之后,哪些Web3項目在持續(xù)賺錢?一文盤點
在泡沫褪去之后，什么才是加密項目的生存底線，這篇文章我們就想聊聊這些有真正現(xiàn)金流的項目,它們大多圍繞兩件事在展開：一是交易，二是注意力,商業(yè)世界里最本質(zhì)的兩種價值…
2025-12-02 -
一文詳細了解HTX DAO與波場TRON聯(lián)袂點燃TOKEN2049 Afterparty 領(lǐng)Web3進
HTX DAO與波場TRON聯(lián)袂打造TOKEN2049 Afterparty，以跨鏈交互、DAO治理與沉浸式體驗，重新定義Web3社交邊界,這場無界狂歡不僅是技術(shù)融合的盛宴，更是去中心化世界自由精神…
2025-10-04 -
降息周期開啟：一文了解Web3 穩(wěn)定幣理財能否成為萬億資金的新大陸？
Web3穩(wěn)定幣理財正吸引萬億資金涌入，其年化收益3%-15%遠高于傳統(tǒng)儲蓄,通過DeFi協(xié)議智能生息，USDT等穩(wěn)定幣日均交易量已突破200億美元,合規(guī)化進程加速下，香港等地區(qū)立法為…
2025-09-19 -
Web3時代來臨，一文了解CEX如何在去中心化浪潮中突圍？
在DEX交易量占比突破30%的背景下，CEX正通過技術(shù)融合（如Binance Web3錢包的試驗田功能）、合規(guī)創(chuàng)新（OKX的混合架構(gòu)實踐）和生態(tài)擴展（CEX-DEX聚合器開發(fā)）實現(xiàn)轉(zhuǎn)型,核心策…
2025-09-04 -
買以太坊（ETH）、投公鏈、螞蟻數(shù)科、穩(wěn)定幣 一文搞清楚馬云的Web3布局
云鋒金融發(fā)布公告:公司董事會已批準于公開市場購買 ETH 作為儲備資產(chǎn),截至公告日期，集團已于公開市場累計購買 10,000 枚 ETH，總投資成本（含費用及開支）為 4,400 萬美元…
2025-09-03 -
趙長鵬香港演講實錄：Web3資產(chǎn)自由流通時代，亞洲金融中心如何搶占先機
幣安創(chuàng)始人趙長鵬（CZ）在香港加密金融論壇上發(fā)表演講，圍繞多個核心議題展開深入分析，主要內(nèi)容如下：穩(wěn)定幣的戰(zhàn)略價值、RWA（現(xiàn)實資產(chǎn)代幣化）的挑戰(zhàn)、交易所的未來形態(tài)…
2025-08-29 -
Web3步入“本分”時代：從投機狂歡到穩(wěn)健建設的華麗蛻變
如今的Web3像褪去浮華的少年——開發(fā)者埋頭打磨區(qū)塊鏈的"數(shù)字樂高"，藝術(shù)家用NFT重構(gòu)版權(quán)世界，游戲玩家真正擁有虛擬資產(chǎn),這個行業(yè)不再講故事，而是像螞蟻筑巢般…
2025-08-28 -
告別一夜暴富焦慮！詳細了解00后玩轉(zhuǎn)Web3新姿勢：既要體驗新潮，更要活
新一代不再沉迷暴富神話，而是用"邊學邊賺"的心態(tài)探索區(qū)塊鏈：擼空投、學DeFi、追NFT，既體驗技術(shù)前沿，又拒絕梭哈冒險,他們用"小額試錯+長期學習"的…
2025-08-27 -
Web3潮玩平臺Andy將于今晚10點啟動TGE詳解
區(qū)塊鏈產(chǎn)業(yè)正在進入一個多賽道并行爆發(fā)的階段,AI、Meme、RWA、DeFi、GameFi、Web3 基礎設施等不斷迭代，推動行業(yè)加速演化,在這樣的背景下，新的敘事與嘗試層出不窮，而 And…
2025-08-23
