Bybit 14.4億美元被盜事件完整剖析 安全與監(jiān)管的博弈再起？
在此前，Beosin已經(jīng)對(duì)Bybit事件進(jìn)行完整鏈路分析，而現(xiàn)在，黑客正在對(duì)被盜資金進(jìn)行“清洗”，同時(shí)Bybit已通過貸款、大戶存款和ETH購(gòu)買等多種渠道獲得約446,869枚ETH（價(jià)值約12.3億美元），目前Bybit已接近彌補(bǔ)因黑客事件造成的資金缺口。Beosin團(tuán)隊(duì)也在和Bybit團(tuán)隊(duì)同步分析進(jìn)展。
結(jié)合Bybit官方公布的信息來看，黑客通過某種方式侵入了Bybit內(nèi)部員工的電腦，通過篡改了UI前端顯示的內(nèi)容，在簽名人員確認(rèn)Safe的URL正確的情況下，實(shí)際上卻簽署了黑客精心構(gòu)造的惡意交易，該交易實(shí)質(zhì)上是修改錢包合約的邏輯實(shí)現(xiàn)，從而讓黑客能夠完全接管該錢包。由于黑客控制了員工的電腦，能夠拿到最終的交易簽名，將交易提交上鏈。待交易被打包廣播之后，黑客完全掌握了該錢包。隨后黑客將錢包中的所有資產(chǎn)轉(zhuǎn)出。
Bybit黑客銷贓模式趨于穩(wěn)定，主要使用Thorchain將資產(chǎn)轉(zhuǎn)移至BTC公鏈，以及利用OKXDEX兌換為DAI再進(jìn)行流轉(zhuǎn)。
2. 攻擊技術(shù)手段分析
a. 漏洞利用方式（如釣魚攻擊和與社會(huì)工程學(xué)手段、前端UI篡改、惡意合約部署）。
釣魚攻擊與社會(huì)工程學(xué)
攻擊者通過釣魚攻擊（如偽造郵件或惡意鏈接）入侵了Bybit內(nèi)部員工的電腦，獲取了操作權(quán)限。利用社會(huì)工程學(xué)手段，攻擊者可能偽裝成內(nèi)部人員或合作伙伴，誘導(dǎo)員工點(diǎn)擊惡意鏈接或下載惡意軟件，從而植入后門。
前端UI篡改
攻擊者篡改了Safe多簽錢包的前端界面，偽造了看似正常的交易提示頁面，誘導(dǎo)簽名人員簽署惡意交易。簽名人員在確認(rèn)URL“Safe”的情況下，實(shí)際簽署的交易內(nèi)容已被篡改，導(dǎo)致惡意合約邏輯被植入。
惡意合約部署
攻擊者在攻擊前部署了惡意合約（地址：0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516），并通過DELEGATECALL將惡意邏輯寫入Safe合約的STORAGE[0x0]中。惡意合約中包含后門函數(shù)（如sweepETH和sweepERC20），用于轉(zhuǎn)移冷錢包中的資產(chǎn)
b. 攻擊者如何繞過風(fēng)控系統(tǒng)（如偽造IP或頁面、模擬正常用戶簽名行為等）。
偽造頁面與交易提示
攻擊者通過篡改Safe多簽錢包的前端界面，偽造了看似合法的交易提示頁面，使簽名人員誤以為交易內(nèi)容正常。簽名人員在硬件錢包上看到的交易內(nèi)容與實(shí)際執(zhí)行的交易內(nèi)容不一致，導(dǎo)致“盲簽”現(xiàn)象。
模擬正常用戶行為
攻擊者在入侵員工設(shè)備后，模擬了正常的用戶操作行為（如登錄、簽名等），避免了觸發(fā)風(fēng)控系統(tǒng)的異常行為檢測(cè)。通過偽造IP地址或使用代理服務(wù)器，攻擊者隱藏了真實(shí)來源，進(jìn)一步規(guī)避了風(fēng)控系統(tǒng)的IP黑名單檢測(cè)。
利用硬件錢包的局限性
硬件錢包在處理復(fù)雜交易時(shí)存在解析能力不足的問題，無法完整顯示Safe多簽錢包的詳細(xì)交易數(shù)據(jù)，導(dǎo)致簽名人員無法驗(yàn)證交易內(nèi)容的真實(shí)性。攻擊者利用這一缺陷，通過偽造交易內(nèi)容誘導(dǎo)簽名人員進(jìn)行“盲簽”。
繞過多簽機(jī)制的信任漏洞
雖然Bybit采用了多簽機(jī)制，但多個(gè)簽名方依賴于相同的基礎(chǔ)設(shè)施和驗(yàn)證流程，一旦其中一個(gè)環(huán)節(jié)被攻破，整個(gè)安全體系即被突破。攻擊者只需攻破一個(gè)簽名者的設(shè)備，即可偽造交易并獲取足夠的簽名權(quán)限。被盜資金*洗*錢路徑與關(guān)鍵節(jié)點(diǎn)突破
1. *洗*錢手段拆解
a. 跨鏈橋轉(zhuǎn)換：通過Chainflip、ChangeNow、Thorchain、LiFi、DLN等轉(zhuǎn)移資產(chǎn)
LazarusGroup擅長(zhǎng)利用各類跨鏈橋規(guī)避鏈上追蹤，除Chainflip之外，該組織在歷次攻擊事件中還廣泛使用AvalancheBridge、BitTorrentBridge、Thorchain、Threshold及Swft等跨鏈工具進(jìn)行資金轉(zhuǎn)移。例如，在AtomicWallet被盜事件、Alphapo被盜事件、Stake.com被盜事件、DMMBitcoin被盜事件、Harmony跨鏈橋攻擊事件及Coinspaid被盜事件中，均可見AvalancheBridge的蹤跡。
LazarusGroup在盜取加密資產(chǎn)后，通常采取跨鏈轉(zhuǎn)移+混幣器清洗+OTC變現(xiàn)的鏈?zhǔn)?洗*錢流程。該組織會(huì)先將被盜資金在多個(gè)跨鏈橋間反復(fù)轉(zhuǎn)移，并通過混幣器掩蓋資金來源，隨后提取至特定地址集群，再借助場(chǎng)外OTC交易將加密資產(chǎn)轉(zhuǎn)換為法幣。
統(tǒng)計(jì)數(shù)據(jù)顯示，Paxful、Noones、MEXC、KuCoin、ChangeNOW、FixedFloat及LetsExchange等交易所均曾接收過LazarusGroup關(guān)聯(lián)資金。此外，除鏈上*洗*錢外，該組織也頻繁利用場(chǎng)外交易逃避監(jiān)管。此前的相關(guān)報(bào)道顯示，自2022年以來，場(chǎng)外交易員YicongWang長(zhǎng)期為L(zhǎng)azarusGroup提供資金清洗服務(wù)，幫助該組織通過銀行轉(zhuǎn)賬將價(jià)值數(shù)千萬美元的被盜加密資產(chǎn)轉(zhuǎn)換為現(xiàn)金。LazarusGroup在資金清洗過程中展現(xiàn)出高度系統(tǒng)化的運(yùn)作模式，這一多層次、去中心化的*洗*錢方式進(jìn)一步加大了資金追蹤難度。加密資產(chǎn)平臺(tái)如何進(jìn)行事前防御、事中響應(yīng)、事后追蹤
1. 事前防御
a. 加強(qiáng)內(nèi)部多簽流程安全建設(shè)，使用專有的網(wǎng)絡(luò)與設(shè)備進(jìn)行簽名審核與操作，避免設(shè)備被黑客控制從而成為黑客進(jìn)入內(nèi)網(wǎng)的突破口；
b. 簽名人員在審核簽名內(nèi)容時(shí)，應(yīng)明確對(duì)比流程中顯示的簽名與錢包中顯示內(nèi)容的一致性，如果發(fā)現(xiàn)異常，應(yīng)立即停止簽名流程并進(jìn)行應(yīng)急響應(yīng)；
c. 還可以通過風(fēng)控系統(tǒng)實(shí)時(shí)監(jiān)控冷熱錢包的資金動(dòng)態(tài)，對(duì)異常的行為及時(shí)告警；
d. 對(duì)于多簽錢包簽名數(shù)據(jù)向鏈上提交時(shí)，可以指定只有固定的幾個(gè)地址才能夠進(jìn)行簽名數(shù)據(jù)提交工作，將交易提交與簽名權(quán)限都控制在企業(yè)內(nèi)部，
2. 事中應(yīng)急響應(yīng)
a. 威脅情報(bào)共享：通過Beosin安全情報(bào)網(wǎng)絡(luò)快速預(yù)警。
b. 應(yīng)急響應(yīng)機(jī)制：發(fā)現(xiàn)異常交易后，迅速啟動(dòng)應(yīng)急響應(yīng)，第一時(shí)間評(píng)估是否需要暫停客戶錢包充提，向社區(qū)同步情況，利用整個(gè)安全社區(qū)的力量阻礙被盜資金的流轉(zhuǎn)；
c. 攻擊溯源分析：結(jié)合鏈上數(shù)據(jù)與鏈下日志追蹤攻擊來源和資金去向。
d. 資金凍結(jié)協(xié)助：聯(lián)動(dòng)金融與執(zhí)法機(jī)構(gòu)凍結(jié)被盜資金。
3. 事后追蹤與復(fù)盤
a. 資金流向圖譜：利用BeosinTrace工具可視化*洗*錢路徑。
b. 反*洗*錢（AML）標(biāo)注：Beosin迅速的將所有黑客相關(guān)的錢包地址標(biāo)記為黑客，并對(duì)所有的資金轉(zhuǎn)賬行為進(jìn)行告警，堵住了黑客通過Beosin的客戶平臺(tái)進(jìn)行*洗*錢的途徑。
c. 司法取證支持：提供符合法律標(biāo)準(zhǔn)的鏈上證據(jù)鏈。
本次事件帶來的警示與行業(yè)改進(jìn)方向：
Bybit事件暴露了Crypto行業(yè)在資金安全管理上的漏洞，也為整個(gè)行業(yè)敲響了警鐘。以下是本次事件帶來的幾點(diǎn)重要啟示：
提升多簽流程的安全性
多簽管理資金是行業(yè)的常見做法，但其安全性仍有待加強(qiáng)。本次事件中，黑客通過入侵內(nèi)部Safe簽名系統(tǒng)工作流，實(shí)施了簽名欺騙并篡改了簽名數(shù)據(jù)。因此，簽名系統(tǒng)的安全性是重中之重，必須通過技術(shù)升級(jí)和嚴(yán)格的權(quán)限管理來防范類似攻擊。
加強(qiáng)簽名環(huán)節(jié)的審核與監(jiān)控
在簽名過程中，操作者需仔細(xì)審核簽名內(nèi)容，例如冷錢包簽名時(shí)應(yīng)與前端顯示的簽名內(nèi)容進(jìn)行比對(duì)，以發(fā)現(xiàn)潛在的異常。此外，建議對(duì)簽名后的數(shù)據(jù)進(jìn)行模擬執(zhí)行，確認(rèn)執(zhí)行結(jié)果與預(yù)期一致后再?gòu)V播交易。盡管本次事件中黑客直接獲取了簽名內(nèi)容并廣播交易，但這一步驟仍能有效防范其他類型的攻擊。
建立行業(yè)聯(lián)盟，協(xié)同應(yīng)對(duì)安全威脅
成立VASP（虛擬資產(chǎn)服務(wù)提供商）行業(yè)聯(lián)盟，聯(lián)盟成員間共享最新的重大事件信息和安全威脅情報(bào)，集合行業(yè)力量共同應(yīng)對(duì)黑客攻擊和*洗*錢行為。這種協(xié)同機(jī)制可以提升整個(gè)行業(yè)的防御能力。
加強(qiáng)合規(guī)建設(shè)，防范*洗*錢風(fēng)險(xiǎn)
去中心化協(xié)議和VASP平臺(tái)需進(jìn)一步加強(qiáng)合規(guī)建設(shè)，避免被黑客利用進(jìn)行*洗*錢活動(dòng)。一旦平臺(tái)被合規(guī)部門標(biāo)記為高風(fēng)險(xiǎn)實(shí)體，將嚴(yán)重影響正常用戶的出入金操作。因此，交易所和去中心化平臺(tái)應(yīng)完善反*洗*錢（AML）和了解你的客戶（KYC）機(jī)制，確保合規(guī)運(yùn)營(yíng)。
持續(xù)優(yōu)化安全與合規(guī)機(jī)制
安全與合規(guī)是一個(gè)動(dòng)態(tài)的過程，需要根據(jù)最新的威脅和技術(shù)發(fā)展不斷優(yōu)化。行業(yè)從業(yè)者應(yīng)保持警惕，定期審查和升級(jí)安全措施，同時(shí)積極參與行業(yè)標(biāo)準(zhǔn)的制定和完善。
Bybit事件不僅是一次安全漏洞的暴露，更是對(duì)整個(gè)行業(yè)安全與合規(guī)體系的考驗(yàn)。只有通過技術(shù)升級(jí)、流程優(yōu)化、行業(yè)協(xié)作和合規(guī)建設(shè)，才能有效應(yīng)對(duì)日益復(fù)雜的網(wǎng)絡(luò)安全威脅，保障用戶資產(chǎn)安全，推動(dòng)行業(yè)的健康發(fā)展。