ByBit被盜15億美元 朝鮮黑客組織犯下加密史上最大盜竊案
黑客年年有，今年也不例外。
眾所周知，在加密世界的黑暗叢林中，盜與被盜，處在一種微妙的平衡中，黑客猖獗無孔不入，安全標準，也在這一次次的壓力測試中被持續(xù)拉高，而公共責任這一在自負盈虧的加密領域少見的詞匯，也一次次擺在了項目或者平臺方的面前，考驗著每個平臺的“格局”與市場的“合力”。
就在開年不久，惡性事件再一次發(fā)生。2月21日晚，交易所Bybit遭受了一起價值14.6億美元的黑客攻擊，僅從金額論，本次事件已然是Crypto歷史上最大的黑客攻擊。
追溯黑客源頭，神秘的朝鮮組織LazarusGroup再度浮出水面。
時間拉回到2月21日，一個平凡的周五夜晚，加密市場卻發(fā)生了一件不平凡的事。先是23點27分，鏈上偵探Zachxbt監(jiān)控頻道稱，監(jiān)控到從Bybit流出的可疑資金，總額超過14.6億美元。
隨后，加密KOLFinish也發(fā)文印證，表示鏈上數據檢測到Bybit一多簽地址將價值15億美元的ETH轉出，并使用DEX將LSD資產兌換為原生ETH，其強調該地址通過4個不同的DEX兌換，會導致較大的滑點與交易損耗，而交易量如此之大，顯然不太尋常。
23點44分，Bybit聯合創(chuàng)始人兼CEOBenZhou發(fā)文確認了這一說法，表示黑客控制了特定ETH冷錢包，但其余冷錢包安全且提現正常。這一消息無疑明確了黑客作案，而高達15億美元的被盜金額，讓市場一時陷入恐慌。
得益于CEO的有效作為與行業(yè)的共同努力，在2月22日上午9點，BybitCEOBenZhou表示，99.994%的提款已完成，而Bybit交易所的各項服務，包括提現功能，均已恢復正常。在當日，SOSOVALUE等監(jiān)測機構也表示Bybit資金完成了缺口覆蓋，稱Bybit交易平臺在過去12小時內共計流入資金超過40億美元。根據今日最新消息，BybitCEOBenZhou于發(fā)推表示Bybit已完全填補ETH缺口，新的審計POR（儲備證明）報告將很快發(fā)布。Lookonchain也監(jiān)測到Bybit通過多種渠道獲得44.7萬枚ETH。
資金擠兌解決，在黑客的圍堵上，行業(yè)也正在努力。Bybit表示已立案對其進行追查，而通過多方協調努力，成功在一天內成功凍結4289萬美元被盜資金。提供協助的機構包括Tether、THORChain、ChangeNOW、FixedFloat、AvalancheEcosystem、CoinEx、Bitget、Circle等。但不得不承認，盡管如此，在加密這一去中心化市場上，寄希望完全阻攔黑客的Tokens拋售，仍非常困難。截止到今日早上9點，Bybit黑客已將5.07萬枚ETH（1.42億美元）換成DAI及其它鏈上的資產，目前還持有44.86萬枚ETH（12.6億美元），若拉長時間線，這筆資金早晚會被拋售殆盡。
究竟是何黑客可繞過多簽+冷錢包這一在業(yè)界最高的安全標準，成功在眾目睽睽下拿走15億美元？
很快，關于攻擊事件的細節(jié)也被進一步披露。Bybit官方推特表示，Bybit檢測到涉及其中一個ETH冷錢包的未經授權活動。事件發(fā)生時，ETH多重簽名冷錢包執(zhí)行了熱錢包的轉賬。不幸的是，這筆交易是通過一個復雜的攻擊操縱的，該攻擊掩蓋了簽名界面，顯示正確的地址，同時更改了底層智能合約邏輯。因此，攻擊者能夠控制受影響的ETH冷錢包并將其資產轉移到一個未識別的地址。
攻擊手法實際上并不復雜，簡而言之，所有的交易所都存在冷錢包與熱錢包，冷錢包用于安全儲存資產，而熱錢包則用于日常交易需求，兩者之間也會發(fā)生金額的流轉，本次黑客正是盯緊了這一過程。在Bybit按照慣例將資金從冷錢包轉入熱錢包時，黑客偽裝了一個假的交易界面和鏈接，實現了渾水摸魚。由于冷錢包通常是多簽機制，黑客在此其中也使用了社工技巧，通過黑入發(fā)起交易的人/設備，讓后續(xù)審核人員降低警惕，審核人員在看到發(fā)起人的轉賬申請后，多會直接點擊同意，而在同意后，錢包的權限就拱手送給了黑客。換而言之，黑客并未攻擊Safe多簽協議本身，而是針對人性的弱點設計了方案。
Safe前端侵入+社工的手法，讓市場很快就聯想到了惡名昭著的始作俑者——朝鮮黑客LazarusGroup。在此前的的歷史案件中，RadiantCapital、WazirX都是用類似的手法被盜，從員工多簽侵入替換簽名內容，把Safe合約升級替換為部署的惡意合約，操作成功后迅速將資金轉入混幣器提出，隨后消聲覓跡。
這一懷疑得到了證實，事件發(fā)生4小時后，鏈上偵探ZachXBT提交了確鑿證據，證實此次針對Bybit的攻擊由朝鮮黑客組織LazarusGroup實施。
從貶義意味而言，Lazarus無疑是業(yè)內讓人聞風喪膽的存在。來自現代化程度不高的朝鮮，Lazarus卻是世界上頂尖的黑客組織，頗有些割裂與荒誕。LazarusGroup的首戰(zhàn)就是2009年的特洛伊行動，黑客們利用DDOS這一常見攻擊完成了韓國政府的攻破，成功在36個網站主引導記錄（MBR）中植入獨立日紀念的文字。
而后，索尼影視、紐約聯邦儲備銀行相繼被攻擊，WannaCry勒索軟件攻擊更是影響了150 個國家的近20 萬臺計算機，使其一戰(zhàn)成名。2017年開始，這一黑客組織開始將目標轉向匿名程度更高的加密領域。Bithumb、Nicehash都曾慘遭毒手，從近年來看，Ronin被盜取的6.2億美元、HorizonBridge的1億美元，背后都有該組織的身影。Blockchain安全平臺Immunefi發(fā)布的一份報告稱，LazarusGroup在2023年的Crypto黑客攻擊事件中，造成的損失超過3億美元，占當年總損失的17.6%。2024年，WazirX也遭到攻擊，損失了2.349億美元的加密資產。
攻擊頻頻得手，且數額巨大，即便美國司法部追溯也無果，這一組織，在互聯網世界的無主之地中制造混亂，持續(xù)不斷的為其祖國朝鮮實現外匯創(chuàng)收。或許也有人疑問，朝鮮是如何培養(yǎng)出如此厲害的黑客高手？
實際上，這也是朝鮮的不得已之舉。在長期的制裁中，相比于長槍大炮等實際投入巨大的國防安全事務，在數字化世界培養(yǎng)黑客，已然是朝鮮最具性價比的方案。從上世紀80年代開始，韓國就開始以“SecretWar”為代號進行黑客培養(yǎng)，以自動化大學為核心基地招收學生，據傳申請?zhí)蕴矢叨?0%，而即便進入學習，也要接受長達9年的嚴格訓練，并從小就開始賦予使命，按照攻擊地域編入不同的組別，甚至會化身臥底融入當地文化以完成任務目標。
當然，豐厚的收益不會少，黑客月薪可高達2000美元一月，并配備首都市中心超過185平米的豪華公寓，盡管看似對黑客而言價值不多，但在人均年收入不足1000美元的朝鮮，他們，可以被認為是金字塔尖的人物。
善與惡，在成年人的世界中，很難評價，對于遭受無妄之災的用戶們，Lazarus可以被認為是純粹的惡，但對于朝鮮而言，黑客們的每次行動都代表著國家的創(chuàng)收與貢獻，對普通民眾而言，或許是大大的善。
在善惡的交織中，加密領域所能做的，也只能是不斷地提高安全標準，制定更為完善的安全機制與危機解決方案，去面對來勢洶洶的攻擊，保全黑暗森林中脆弱的資產。
值得一提的是，本次Bybit事件，無疑是加密歷史上一次偉大的救援。無論理由為何，加密世界所展現出來行業(yè)同舟共濟的信心與勇氣，仍然讓市場觸動，成為了垃圾時間中少見的人性曙光，或許大家都知道，如今的市場，再也經不起如此大規(guī)模的又一次黑客攻擊。頗為有趣的是，面對如此高額的攻擊，最愛長臂管轄的美國監(jiān)管機構似乎都保持著沉默，監(jiān)管新紀元名不虛傳。
但無論如何，提高安全性是所有用戶需要高度關注的優(yōu)先事項，這次是資本雄厚的Bybit，所以全員聲援，被盜的金額雖大，但也只是Bybit一年的盈利，然而，幣圈永遠不止Bybit，沒有一絲漣漪、求助無門、動輒傾家蕩產的散戶被盜才是行業(yè)的常態(tài)。對于普通用戶而言，如何取得安全與效率的平衡，將是永恒的議題。