gate交易所 全球最大的区块链首发平台

作者| 吴说区块链

北京时间2月21日晚间，链上侦探ZachXBT首先披露，监控到Bybit有14.6亿美元以上的可疑资金流出，mETH和stETH目前正在DEX上兑换为ETH。可以确定，这已经成为加密货币历史上（按当时金额计算）金额最大的一起被盗事件。

Coinbase主管ConorGrogan表示，朝鲜对Bybit的黑客攻击是有史以来最大的黑客盗窃案（高于伊拉克中央银行盗窃案，价值约10亿美元）其金额约为2016年DAO黑客攻击的10倍（但供应量的百分比要高得多）预计这里会出现一些要求以太坊分叉的呼声。（此处金额以被盗时的价值计算）

Arkham发推表示，链上分析师ZachXBT提供了确凿证据，证明Bybit的15亿美元黑客攻击由朝鲜支持的黑客组织LazarusGroup实施。他的提交包括对测试交易、关联钱包、取证图表和时间分析的详细分析。相关信息已分享给Bybit，以协助其调查。

BybitCEOBEN发推表示，大约1小时前，BybitETH多重签名冷钱包刚刚向我们的热钱包转账。看来这笔交易是伪造的，所有签名者都看到了伪造的UI，其中显示了正确的地址，URL来自SAFE。然而签名信息是要更改我们ETH冷钱包的智能合约逻辑。这导致黑客控制了我们签名的特定ETH冷钱包，并将冷钱包中的所有ETH转移到这个未识别的地址。请放心，所有其他冷钱包都是安全的。所有提款都是正常的。我会随时向你们通报更多进展，如果有任何团队可以帮助我们追踪被盗资金，我们将不胜。Bybit热钱包、温钱包和所有其他冷钱包都很好。唯一被黑客入侵的冷钱包是ETH冷钱包。所有提款均正常。

Bybit官方推特表示，Bybit检测到涉及我们其中一个ETH冷钱包的未经授权活动。事件发生时，我们的ETH多重签名冷钱包执行了向我们的热钱包的转账。不幸的是，这笔交易是通过一个复杂的攻击操纵的，该攻击掩盖了签名界面，显示正确的地址，同时更改了底层智能合约逻辑。因此，攻击者能够控制受影响的ETH冷钱包并将其资产转移到一个未识别的地址。我们的安全团队与领先的区块链取证专家和合作伙伴一起积极调查此事件。任何在区块链分析和资金追回方面具有专业知识并可以协助追踪这些资产的团队都欢迎与我们合作。我们想向我们的用户和合作伙伴保证，所有其他Bybit冷钱包都完全安全。所有客户资金都是安全的，我们的运营照常进行，不会中断。透明度和安全性仍然是我们的首要任务，我们将尽快提供更新。

Bybit表示，所有其他Bybit冷钱包都是安全的，客户资金不受影响且保持安全。我们了解当前形势导致提款请求激增。虽然如此高的数量可能会导致延迟，但所有提款都在正常处理中。Bybit拥有足够的资产来弥补损失，其资产管理规模超过200亿美元，并将在必要时使用过桥贷款来确保用户资金的可用性。

Coinbase主管ConorGrogan发推表示，Binance和Bitget刚刚将超过50,000枚ETH直接存入Bybit的冷钱包，其中Bitget的存款尤为引人注目，占该交易所所有ETH的四分之一。由于跳过了存款地址，这些资金显然是由Bybit自行协调的。BybitCEOBenZhou表示：感谢Bitget在此刻伸出援手，Binance和其他几个合伙伙伴我们正在沟通，这笔资金跟币安官方没关系。

BitgetCEOGracy表示，Bybit是值得尊敬的竞争对手跟合作伙伴，这次的损失虽然很大，但也就是他们一年的利润，我相信客户资金是100%安全的，没必要恐慌和挤兑。此外Gracy表示借给Bybit的是Bitget自身的资产，不是用户的资产。

慢雾团队发文补充了部分细节，攻击者部署了一个恶意实现合约，随后攻击者通过三位所有者签署交易，将Safe的实现合约替换为恶意合约，利用恶意合约中的后门功能sweepETH和sweepERC20清空了热钱包资金。

DilationEffect分析指出，相比前几次类似事件，Bybit事件里只需要拿下一个签名者就可以完成这次攻击，因为攻击者用到了一个“社工”技巧。分析链上交易可以看到，攻击者通过delegatecall执行一个恶意合约的transfer函数，transfer代码是用SSTORE指令修改slot0的值，从而将Bybit冷钱包多签合约的实现地址变更成了攻击者地址。只需要搞定发起这笔多签交易的人/设备，后面的几个审核人员看到这个transfer时，会大大降低警惕。因为正常人看到transfer以为就是转账，谁知道竟然是在变更合约。

Chainlink数据显示，在Bybit安全事件披露后，USDe一度闪崩至$0.965后拉回至$0.99。Bybit集成了USDe可作为抵押资产来交易该交易所UTA中所有资产的永续合约。ethena_labs发文称，他们已关注Bybit当前发生的情况，并将持续监控进展。所有支持USDe的现货资产均存放在场外托管解决方案中，包括与Bybit通过CopperClearloop的合作。目前，没有现货资产存放在任何交易所。与Bybit对冲头寸相关的未实现PNL总额不到3000万美元，低于储备基金的一半。USDe目前保持超过完全抵押，并会根据最新信息提供更新。

币安联合创始人CZ回复称，这不是一件容易处理的情况，可能建议暂停所有提款，作为标准安全预防措施，如有需要，将提供任何帮助。何一表示愿意提供帮助。

Safe的安全团队回应称，正在与Bybit紧密合作，进行持续调查。目前尚未发现官方Safe前端被攻破的证据，但出于谨慎考虑，SafeWallet暂时暂停某些功能。慢雾余弦表示，类似此前RadiantCapital案例，可能也是遭到朝鲜黑客盗窃。RadiantCapital表示，其10月份遭遇的一起价值5000万美元的攻击事件与朝鲜黑客组织有关，该事件涉及复杂的身份伪造和多层次的网络钓鱼攻击。攻击者冒充为前承包商，通过社会工程手段获取敏感凭证，从而入侵协议系统实施攻击。

安全分析师认为，这与WazirX和Radiant类似，签名者的计算机或中间接口遭到黑客攻击，此次黑客攻击的可能原因如下：黑客在签名者的计算机/浏览器中植入病毒，将交易替换为恶意交易，然后将其发送到硬件钱包。此病毒可能位于堆栈的任何部分（例如，恶意扩展、钱包通信……）-安全接口遭到黑客攻击，它显示了一笔交易，但向钱包发送了另一笔交易最终结果是签名者在安全接口中看到了一笔无辜的交易，但实际上恶意交易被发送到了他们的钱包，在完整的事后分析出炉之前，我们无法确定。

OneKey表示，黑客大概率是已经确认了Bybit的三位多签的电脑已被入侵，具备攻击条件，在等他们操作。接下来，当多签工作人员执行日常转账之类的签名操作时，黑客替换了签名内容。工作人员在网页看着以为是转账之类的正常的交易——殊不知被改成了“把safe 合约升级替换为此前部署的恶意合约”的交易。于是，惨剧便发生了。带后门的恶意合约，被黑客轻松提取了所有资金。

Bybit表示，不会马上购买ETH，而是依赖合作伙伴提供过桥贷款。将确保所有的用户都可以提现，但由于流量是平时的100倍，需要一些时间处理，以及需要对大额提现进行一些风险确认。

DilationEffect指出，普通硬件钱包配合Safe多签的机制早已无法满足大资金的安全管理需求。如果攻击者有足够耐心去搞定多个签名方，那整个操作过程就没有其它措施去进一步保证安全。大资金的安全管理一定要使用机构级托管方案。

据DeFiLlama数据，包括被黑客入侵的资金在内，Bybit近24小时的总流出量为23.99亿美元。目前，平台链上可验证资产超过140亿美元，其中比特币和USDT占比接近70%。Bybit公告表示，已向相关当局报告案件，并将在获得更多信息后提供更新。此外，与链上分析提供商的合作帮助识别并分离了相关地址，旨在减少恶意行为者通过合法市场处置ETH的能力。

此事件可能引发关于以太坊分叉的讨论。ConorGrogan表示，尽管他认为分叉的呼声过于激进，但预计会有关于此问题的真正辩论。ArthurHayes表示，作为一个大量持有以太坊的投资者，他认为以太坊自2016年DAO黑客事件硬分叉后就不再是“货币”。他表示，如果社区决定再次进行回滚，他会支持这一决定，因为在2016年社区已经投票反对不可变性，为什么不再次这么做呢？