Cointime

Cointime

扫码下载App
iOS & Android

Bybit 事件技术分析：设备入侵可能是关键因素

项目方

事件概述

2025 年 2 月 21 日 UTC 时间下午 02:16:11，Bybit 的以太坊冷钱包（0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4[1]）因恶意合约升级遭到资金盗取。根据 Bybit CEO Ben Zhou 的声明[2]，攻击者通过钓鱼攻击诱骗冷钱包签名者错误签署恶意交易。他提到，该交易被伪装为合法操作：Safe{Wallet}界面显示为正常交易，但实际发送至 Ledger 设备的数据已被篡改为恶意内容。攻击者成功获取三个有效签名，将 Safe 多签钱包的实现合约替换为恶意合约，从而盗取资金。此次漏洞导致约 14.6 亿美元的损失，成为 Web3.0 历史上最大规模的安全事件。

攻击交易记录

升级 Safe 钱包实现合约至恶意合约：

https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882

从 Bybit 冷钱包转移资金的多笔交易：

  • 401,346 ETH[3]
  • 15,000 cmETH[4]
  • 8,000 mETH[5]
  • 90,375 stETH[6]
  • 90 USDT[7]

主要地址

  • Bybit 多签冷钱包（受害者）[8]
  • 攻击者初次攻击操作地址[9]
  • 恶意实现合约[10]
  • Safe 「delegate call」 过程中使用的攻击合约[11]

攻击流程

1、攻击者在攻击的三天前（2025 年 2 月 18 日，UTC 时间）之前部署了两个恶意合约。

  • 这些合约包含了资金转移的后门功能[12]
  • 以及用于修改存储槽的代码，以实现合约升级[13]

2、攻击者在 2025 年 2 月 21 日诱使三个多重签名钱包的所有者（签名者）签署恶意交易，从而将 Safe 的实现合约升级为之前部署的含有后门的恶意合约[14]：https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882

3、攻击交易中的「operation」字段值为「1」，指示 GnosisSafe 合约执行「delegatecall」，而「0」表示「Call」。

4、该交易执行了委托调用到攻击者部署的另一个合约（0x96221423681a6d52e184d440a8efcebb105c7242[15]），该合约包含一个「transfer()」函数，调用时修改合约的第一个存储槽「uint256 _transfer」。

在 GnosisSafe 合约中，第一个存储槽包含「masterCopy」地址，即 GnosisSafe 合约的实现合约地址。

通过修改 Gnosis Safe 合约的第一个存储槽，攻击者能够改变实现合约地址（即「masterCopy」地址）。

从交易详情中可以看到，攻击者将「masterCopy」地址设置为 0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516，该地址包含了下面描述的「sweepETH()」和「sweepERC20()」函数。

5、攻击者使用的合约升级方法非常规，它经过专门设计来避免攻击意图被发现。从 Bybit 签署者的角度来看，签署的数据看起来像是一个简单的「transfer(address, uint256)」函数调用，而不是一个可能引起怀疑的「升级」函数。

6、升级后的恶意实现合约[16]，包含了后门函数「sweepETH()」和「sweepERC20()」，攻击者通过调用这些函数，转移了冷钱包内所有资产，最终造成 14 亿美元的 ETH 被盗。

漏洞分析

此次漏洞的根源在于一次成功的钓鱼攻击。攻击者通过诱骗钱包签名者签署恶意交易数据，最终导致合约被恶意升级。此次升级使攻击者得以控制冷钱包并转移其全部资金。目前，钓鱼攻击的具体策划与实施手法仍不明确。

根据 Bybit CEO Ben Zhou 在漏洞发生两小时后于 X 平台直播中的说明，事件发生时 Bybit 团队正执行冷钱包至热钱包的常规资产转移流程，而他本人是 Safe 多签交易的最后一位签署者。他明确指出：该交易经过伪装处理——所有签名者在 Safe{Wallet}界面看到的地址和交易数据均显示为正确内容，且 URL 已通过 Safe{Wallet}官方验证。然而，当交易数据发送至 Ledger 硬件钱包进行签名时，实际内容已被篡改。Ben Zhou 还提到，他未在 Ledger 设备界面上二次核验交易细节。关于攻击者如何篡改 Safe{Wallet}界面，目前尚无定论。根据 Arkham[17]披露的信息，链上分析师@zachxbt 已提交确凿证据，表明此次攻击由 LAZARUS 黑客组织策划实施。

经验与教训

此次事件让人联想到 2024 年 10 月 16 日的 Radiant Capital 漏洞事件（参考 1[18]、参考 2[19]），该事件导致约 5000 万美元被盗。当时攻击者通过入侵开发者设备，篡改 Safe{Wallet}前端界面，使其显示合法交易数据，而实际发送至硬件钱包的数据为恶意内容。此类篡改在人工界面审查及 Tenderly 模拟测试中均无法被检测。攻击者最初通过冒充可信前承包商，通过 Telegram 消息，向目标发送含有恶意软件（建立 macOS 持久后门）的压缩 PDF 文件，从而获取设备访问权限。

尽管 Bybit 事件中界面篡改的根本原因尚未确认，但设备入侵可能是关键因素（与 Radiant Capital 事件类似）。两起事件均揭示了攻击成功的两大前提：设备被入侵与盲签行为。鉴于此类攻击日益频繁，我们需重点分析以下两种攻击手段及缓解策略：

1. 设备被入侵：

通过社会工程学手段传播恶意软件入侵受害者设备，仍是 Web3.0 领域大规模攻击的主要手段。国家级黑客组织（例如 LAZARUS GROUP）常利用此方法突破初始防线。设备入侵可有效绕过安全控制措施。

缓解策略：

  • 强化设备安全：制定严格的端点安全策略，部署 EDR 解决方案（如 CrowdStrike）。
  • 专用签名设备：在隔离环境中使用专用设备执行交易签名，避免多用途设备暴露风险。
  • 临时操作系统：为关键操作（如多签交易）配置非持久性操作系统（如临时虚拟机），确保操作环境干净。
  • 钓鱼模拟演练：定期对高风险角色（如加密资产操作员、多签签名者）进行钓鱼攻击模拟，提升安全意识。
  • 红队攻防演练：模拟攻击者战术，评估现有安全控制措施的有效性并针对性强化。

2. 盲签漏洞：

盲签名指用户未完整验证交易细节即签署交易，导致恶意交易被意外授权。此类不安全操作在 DeFi 用户中普遍存在，对管理高额资产的 Web3.0 机构尤为危险。硬件钱包 Ledger 近期已针对此问题展开讨论（参考 1[20]、参考 2[21]）。在 Bybit 事件中，恶意界面隐藏交易真实意图，导致篡改后的数据被发送至 Ledger 设备，而签名者未在设备端验证细节，最终引发漏洞。

缓解策略：

  • 避免未经验证的 Dapp：仅与可信的平台交互；通过书签访问官方平台，避免钓鱼链接。
  • 硬件钱包二次核验：在 Ledger 等设备屏幕上逐项确认交易详情（收款地址、金额、函数调用），确保与预期一致。
  • 交易模拟：在签名之前，模拟交易以观察其结果并验证其正确性。
  • 使用非可视化界面：选择命令行工具 (CLI)，减少对第三方图形界面的依赖，CLI 降低了 UI 操纵的风险，可提供更透明的交易数据视图。
  • 异常即终止：若交易任何部分存在异常，立即终止签名流程并启动调查。
  • 双设备验证机制：在签名之前，使用单独的设备独立验证交易数据。该设备应生成可读的签名验证码，该验证码与硬件钱包上显示的数据相匹配。

继 Radiant Capital 与 WazirX2[22]的数千万美元损失后，Bybit 成为了 Web3.0 史上最大规模盗窃的受害者。此类攻击的频率与复杂性持续升级，暴露了行业在运维安全上的重大缺陷。攻击者正系统性针对高价值目标进行攻击。随着对手能力的提升，中心化交易所（CEX）及 Web3.0 机构必须全面提升安全防护水平，警惕外部威胁的迭代演进。

[1] : https://etherscan.io/address/0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4

[2] : https://x.com/Bybit_Official/status/1892986507113439328

[3] : https://etherscan.io/tx/0xb61413c495fdad6114a7aa863a00b2e3c28945979a10885b12b30316ea9f072c

[4] : https://etherscan.io/tx/0x847b8403e8a4816a4de1e63db321705cdb6f998fb01ab58f653b863fda988647

[5] : https://etherscan.io/tx/0xbcf316f5835362b7f1586215173cc8b294f5499c60c029a3de6318bf25ca7b20

[6] : https://etherscan.io/tx/0xa284a1bc4c7e0379c924c73fcea1067068635507254b03ebbbd3f4e222c1fae0

[7] : https://etherscan.io/tx/0x25800d105db4f21908d646a7a3db849343737c5fba0bc5701f782bf0e75217c9

[8] : https://etherscan.io/address/0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4

[9] : https://etherscan.io/address/0x0fa09c3a328792253f8dee7116848723b72a6d2e

[10] : https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516

[11] : https://etherscan.io/address/0x96221423681A6d52E184D440a8eFCEbB105C7242#code

[12] : https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516

[13] : https://etherscan.io/address/0x96221423681A6d52E184D440a8eFCEbB105C7242#code

[14] : https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516

[15] : https://etherscan.io/address/0x96221423681A6d52E184D440a8eFCEbB105C7242

[16] : https://etherscan.io/address/0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516

[17] : https://x.com/arkham/status/1893033424224411885

[18] : https://medium.com/@RadiantCapital/radiant-post-mortem-fecd6cd38081

[19] : https://medium.com/@RadiantCapital/radiant-capital-incident-update-e56d8c23829e

[20] : https://www.ledger.com/academy/topics/ledgersolutions/what-is-clear-signing

[21] : https://www.youtube.com/watch?v=-O7aX6vUvs8

[22] : https://wazirx.com/blog/wazirx-cyber-attack-key-insights-and-learnings

评论

所有评论

推荐阅读

  • 美股三大指数集体高开 科技股普遍反弹

    美股三大指数集体高开，道琼斯指数涨0.80%，标普500指数涨0.44%，纳斯达克综合指数涨0.63%。热门科技股中，苹果股价下跌0.31%，英伟达股价上涨1.48%，微软股价上涨0.32%，谷歌-A股价上涨0.99%，亚马逊股价上涨1.36%，台积电股价上涨1.42%，SpaceX股价上涨2.2%，特斯拉股价上涨1.28%，Meta股价下跌0.47%，博通股价上涨0.27%，SK海力士股价上涨2.46%，美光科技股价上涨0.14%，超威半导体股价上涨0.71%，阿斯麦股价上涨0.45%，思科股价上涨0.23%，甲骨文股价下跌3.9%，英特尔股价下跌1.22%，戴尔科技-C股价下跌0.5%，ARM股价下跌0.18%。

  • Anthropic第三季度营收同比增长1127% Claude营收达170亿美元

    11月2日，Anthropic披露，截至2026年9月30日的三个月，公司营收同比增长1127%，旗下Claude业务营收达到170亿美元。同期，公司调整后营业利润为25亿美元，调整后营业利润率为15%；但按会计口径计算，营业亏损为5.67亿美元。 此外，截至9月30日及此后，公司采购承诺及租赁协议项下的承诺支出总额约8954亿美元。

  • Strategy 上周增持 810 枚 BTC

    据 Strategy 官网数据，Strategy 上周增持 810 枚比特币，累计持仓由 848,517 枚增至 849,327 枚，今年累计买入 176,827 枚。

  • Melius Research将英伟达目标价从420美元下调至315美元

    11月2日，Melius Research：将英伟达(NVDA.O)公司目标价从420美元下调至315美元。将迈威尔科技(MRVL.O)的目标价从445美元下调至300美元。

  • 香港交易所：延长衍生产品收市后交易时段

    11月2日，香港交易所将延长衍生产品收市后交易时段。由2027年3月起，香港交易所衍生产品收市后交易时段的收市时间由现时凌晨3时延长至凌晨4时15分；将根据收市后交易时段延长后的市场发展，考虑是否于2027年11月将收市时间再延至凌晨5时15分。新安排下，收市后交易时段的收市时间将由凌晨3时延长至凌晨4时15分，让市场参与者可在香港日间交易时段以外，因应外围市况灵活管理风险。

  • Cointime精选 ·

    币安 63 亿美元失窃大案落地：比特币牛市迎来关键均线考验

    币安 63 亿美元失窃大案落地：比特币牛市迎来关键均线考验

  • ETH突破2300美元

    行情显示，ETH突破2300美元，现报2300.05美元，24小时涨幅达到1.35%，行情波动较大，请做好风险控制。

  • 本周重要事件与数据预告：美国中期选举、非农、中国外储

    11月2日，本周重要事件与数据预告如下： 1. 周一：①数据：中国10月RatingDog制造业PMI；瑞士9月实际零售销售年率；法国、德国、欧元区、英国10月制造业PMI终值；美国10月标普全球制造业PMI终值；美国10月ISM制造业PMI；美国9月营建支出月率；②事件：今日有1万亿隔夜逆回购、560亿元7天期逆回购到期。③财报：苹果(AAPL.O)、Palantir(PLTR.N)等。 2. 周二：①数据：澳大利亚至11月3日澳洲联储利率决定；瑞士10月CPI月率；美国9月JOLTs职位空缺；美国9月工厂订单月率；②事件：澳洲联储公布利率决议和货币政策声明，主席布洛克召开货币政策新闻发布会；2027年FOMC票委、芝加哥联储主席古尔斯比发表讲话；欧洲央行管委拉德夫、穆兰、科赫尔、多伦茨等发表讲话；2026年美国中期选举；③假期：日本东京证券交易所因文化日休市一日；④财报：辉瑞(PFE.N)、AMD(AMD.O)、BioNTech SE(BNTX.O)等。 3. 周三：①数据：美国当周API原油库存；中国10月RatingDog服务业PMI；法国、德国、欧元区、英国10月服务业PMI终值；欧元区10月CPI初值；美国10月ADP就业人数；美国9月贸易帐；美国10月标普全球服务业PMI终值；美国10月ISM非制造业PMI；美国当周EIA原油库存、当周EIA俄克拉荷马州库欣原油库存、当周EIA战略石油储备库存；②事件：欧洲央行管委内格尔、首席经济学家连恩发表讲话；美国财政部发布季度再融资公告；第二十四届中国半导体封装测试技术与市场年会于11月4日-6日在南京丰大国际大酒店举行；③财报：高通(QCOM.O)、Arm(ARM.O)、Uber(UBER.N)、麦当劳(MCD.N)等。 4. 周四：①数据：法国9月工业产出月率；瑞士10月季调后失业率；欧元区9月PPI月率；美国10月挑战者企业裁员人数；英国至11月5日央行利率决定；美国至10月31日当周初请失业金人数；美国10月全球供应链压力指数；美国当周EIA天然气库存；②事件：日本央行公布9月货币政策会议纪要；欧洲央行管委穆兰、执委施纳贝尔等发表讲话； 英国央行公布利率决议、会议纪要及货币政策报告，行长贝利召开货币政策新闻发布会；瑞士央行行长施莱格尔发表讲话；2026年FOMC票委、克利夫兰联储主席哈玛克就稳定币和避险货币汇率问题发表讲话；2027年FO

  • 伊朗外长披露“两天计划” 美方履约方能重启伊美谈判

    当地时间11月1日，伊朗外长阿拉格齐在接受媒体采访时表示，伊朗代表团访问卡塔尔是伊朗与卡塔尔、巴基斯坦等调解方持续沟通的延续。目前，摆在桌面的方案与伊朗此前提出的“七日计划”基本相同。卡塔尔和巴基斯坦等调解方也就此进行了多次磋商和讨论，并提出了比伊朗“七日计划”更具可行性和可操作性的建议。 阿拉格齐表示，卡塔尔提出的建议之一是“将七天期限缩短至五天甚至更短”。目前，伊朗同意一项“两天计划”，即：第一天，美国将采取一系列（履约）措施。第二天，霍尔木兹海峡将开放，海峡交通将恢复到之前的状态。 阿拉格齐指出，现在所有这些问题都摆在了桌面上，只要（美国）遵守伊朗这个为期两天的计划，就能为和平铺平道路，使霍尔木兹海峡恢复正常。在美国履行相关承诺、霍尔木兹海峡开放后，伊朗与美国恢复谈判的道路才会打开。据了解，伊朗提出的美国必须履约的条件包括：确定霍尔木兹海峡通航新航线、解冻伊朗资金、结束包括黎巴嫩在内的地区战争、解除海上封锁、伊朗出口石油豁免权、解除在《伊斯兰堡谅解备忘录》后美国实施的新制裁等。（央视）

  • 以媒：以色列已准备好与美国联手打击伊朗，但具体目标尚不明确

    11月2日，据《耶路撒冷邮报》报道，如果特朗普要求以色列国防军（IDF）在11月3日美国中期选举后参与美军空军对伊朗的军事行动，以军已做好打击准备，但目前局势仍笼罩在诸多不确定性之中。特朗普此前曾在今年8月、10月初及其他多个时点撤回对伊朗发动袭击的威胁，而如今袭击可能性再次上升，部分原因在于各方已尝试通过其他途径争取伊朗让步，特朗普团队中的部分成员也正重新转向支持军事打击。过去一周，超过10架美国军用运输机抵达以色列南部的内瓦提姆空军基地和乌夫达空军基地，似乎是在为一场重大军事行动做准备。另有报道称，美国正向以色列及其他阿拉伯盟友调运防空系统和拦截弹。不过，目前美国在该地区的兵力仍少于此前一些时期的部署规模。但这可能只是部署的开始。美国与以色列对于此类军事行动的具体目标仍存在分歧。(金十)

每日必读

热门标签

Cointime
即时新闻
内容
RSS
公司