Bitrace：Bybit被盜15億美金 OTC群體將迎來(lái)凍結(jié)潮

來(lái)源：Bitrace

2025年2月21日，加密貨幣交易所Bybit遭遇了一起大規(guī)模安全漏洞事件，導(dǎo)致其以太坊冷錢包中的約15億美元資產(chǎn)被盜。此事件被認(rèn)為是加密貨幣歷史上金額最大的單次盜竊案，超過(guò)了此前如Poly Network（2021年，6.11億美元）和Ronin Network（2022年，6.2億美元）的記錄，對(duì)行業(yè)造成了沖擊性的影響。

本文旨在對(duì)黑客事件與其資金清洗手法進(jìn)行介紹的前提下，警示在未來(lái)若干個(gè)月內(nèi)，即將出現(xiàn)針對(duì) OTC 群體與 Crypto 支付公司的大規(guī)模凍結(jié)潮。

盜竊經(jīng)過(guò)

根據(jù) Bybit Ben Zhou 的描述以及 Bitrace 的初步調(diào)查，盜竊過(guò)程如下：

攻擊準(zhǔn)備：黑客在事發(fā)前至少三天（即2月19日）部署了一個(gè)惡意智能合約（地址：0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516），為后續(xù)攻擊埋下伏筆。

入侵多簽系統(tǒng)：Bybit的以太坊冷錢包采用多重簽名機(jī)制，通常需要多個(gè)授權(quán)方簽名才能執(zhí)行交易。黑客通過(guò)未知手段侵入了管理多簽錢包的電腦，可能是通過(guò)偽裝的界面或惡意軟件。

偽裝交易：在2月21日，Bybit計(jì)劃將冷錢包中的ETH轉(zhuǎn)移至熱錢包以滿足日常交易需求。黑客利用這一時(shí)機(jī)，將交易界面?zhèn)窝b成正常操作，誘導(dǎo)簽名者確認(rèn)了一條看似合法的交易。然而，簽名實(shí)際執(zhí)行的是一條更改冷錢包智能合約邏輯的指令。

資金轉(zhuǎn)移：指令生效后，黑客迅速控制了冷錢包，將當(dāng)時(shí)價(jià)值約 15 億美元的 ETH 以及 ETH 質(zhì)押憑證轉(zhuǎn)移至一個(gè)未知地址（初步追蹤地址：0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2）。隨后，資金被分散至多個(gè)錢包并開(kāi)始洗錢流程。

洗錢手法

資金的清洗大致可以分為兩個(gè)階段：

第一個(gè)階段是早期的資金拆分階段，攻擊者迅速將 ETH 質(zhì)押憑證代幣兌換為 ETH 代幣，而不是存在凍結(jié)可能的穩(wěn)定幣，接著將 ETH 嚴(yán)格拆分轉(zhuǎn)移至下級(jí)地址，準(zhǔn)備清洗。

正是在這個(gè)階段，攻擊者試圖將 15000 mETH 兌換成 ETH 的行為被制止，行業(yè)進(jìn)而挽回了這部分損失。

第二個(gè)階段是資金清洗工作。攻擊者會(huì)將已經(jīng)獲得的 ETH 通過(guò)中心化或去中心化的行業(yè)基礎(chǔ)設(shè)施進(jìn)行轉(zhuǎn)移，這些基礎(chǔ)設(shè)施包括 Chainflip、Thorchain、Uniswap、eXch 等。部分協(xié)議被用于資金兌換，部分協(xié)議則被用于資金跨鏈轉(zhuǎn)移。

截至目前，已經(jīng)有大量被盜資金被兌換為 BTC、DOGE、SOL 等 layer1 代幣進(jìn)行轉(zhuǎn)移，甚至發(fā)行 memecoin 或?qū)①Y金轉(zhuǎn)入交易所地址進(jìn)行資金混淆。

Bitrace 正在對(duì)被盜資金相關(guān)地址進(jìn)行監(jiān)控追蹤，這部分威脅信息會(huì)在 BitracePro 以及 Detrust 中同步推送，防止用戶不慎收取被盜資金。

前科分析

對(duì)資金鏈路中的 0x457 進(jìn)行分析發(fā)現(xiàn)，該地址與發(fā)生在 2024 年 10 月 BingX 交易所被盜事件與 2025 年 1 月的 Phemex 交易所被盜事件有關(guān)，表明這三起攻擊事件的背后主謀為同一個(gè)實(shí)體。

結(jié)合其高度工業(yè)化的資金清洗手法與攻擊手段，部分區(qū)塊鏈安全從業(yè)者將此事件歸咎為臭名昭著的黑客組織拉撒路，后者在過(guò)去若干年時(shí)間內(nèi)，對(duì) Crypto 行業(yè)的機(jī)構(gòu)或基礎(chǔ)設(shè)施發(fā)起了多次網(wǎng)絡(luò)攻擊，并非法攫取價(jià)值數(shù)十億美金的加密貨幣。

凍結(jié)危機(jī)

Bitrace 在過(guò)去數(shù)年的調(diào)查過(guò)程中，發(fā)現(xiàn)該組織除了使用無(wú)許可的行業(yè)基礎(chǔ)設(shè)施進(jìn)行資金清洗外，還會(huì)大量使用中心化平臺(tái)進(jìn)行傾銷，這直接導(dǎo)致大量故意或非故意收取贓款的交易所用戶賬戶被風(fēng)控，OTC 商與支付機(jī)構(gòu)的業(yè)務(wù)地址被泰達(dá)凍結(jié)。

2024 年，日本加密貨幣交易所 DMM 被拉撒路攻擊，價(jià)值高達(dá) 6 億美元的比特幣被非法轉(zhuǎn)移。其中攻擊者將資金橋接至東南亞地區(qū)加密貨幣支付機(jī)構(gòu) HuionePay，導(dǎo)致后者的熱錢包地址被泰達(dá)凍結(jié)，價(jià)值超過(guò) 2900 萬(wàn)美金被鎖定無(wú)法轉(zhuǎn)移；

2023 年，Poloniex 被攻擊，攻擊者疑似拉撒路集團(tuán)，價(jià)值超過(guò) 1 億美金的資金被非法轉(zhuǎn)移。其中部分資金被通過(guò)場(chǎng)外交易的方式進(jìn)行資金清洗，導(dǎo)致大量 OTC 商的業(yè)務(wù)地址被凍結(jié)，或者用于存放業(yè)務(wù)資金的交易所賬戶被風(fēng)控，對(duì)業(yè)務(wù)活動(dòng)造成巨大影響。

總結(jié)

頻發(fā)的黑客攻擊事件已經(jīng)對(duì)我們行業(yè)造成了巨大的損失，而后續(xù)的資金清洗活動(dòng)也污染了更多個(gè)人與機(jī)構(gòu)地址，對(duì)這些無(wú)辜者與潛在的受害者而言，更應(yīng)當(dāng)在業(yè)務(wù)活動(dòng)中關(guān)注這些威脅資金，防止自身受到影響。

這也為我們敲響了警鐘，是時(shí)候重視 Crypto 反洗錢意識(shí)與 KYT 程序了。