朝鲜黑客血洗全球第三大 Bybit交易所15亿美金资产的全过程!

据 Onchain Lens 披露，由 ZachXBT 监测发现，加密货币交易所 Bybit 遭遇安全事件，价值约 14.4 亿美元的资金被提取。

具体资产包括：401,347 枚 ETH，价值约 11.2 亿美元；

90,376 枚 stETH，价值约 2.5316 亿美元；

15,000 枚 cmETH，价值约 4,413 万美元；

以及 8,000 枚 mETH，价值约 2300 万美元。

总部位于迪拜的加密货币交易所 Bybit 官方证实，在遭遇黑客发起的“复杂攻击”后，其数字资产损失高达 15 亿美元（约合 55.1 亿迪拉姆）。这起事件也被认为是该行业历史上规模最大的盗窃案之一。

针对 Bybit 交易所的 15 亿美元资产攻击事件全解析

据信，一名攻击者控制了 Bybit 的一个以太坊冷钱&包（即离线存储的加密钱&包），并将价值约 15 亿美元的资产转移至一个未知地址。该公司表示，虽然事件发生后变钱请求“激增”，但平台并未停止变钱功能，所有其他钱&包仍处于安全状态。

首席执行官兼创始人 Ben Zhou 将此次入侵描述为“可能是历史上（无论是银&行、加密货币还是金融领域）最严重的黑客攻击”。需要提醒的是，事件后续发展请以官方公告或实时行情平台为准，本文分析仅供参考。

一、Bybit 交易所概览

公司名称：Bybit

成立时间：2018年3月

总部：最初注册于新加坡，后于2021年迁至迪拜

核心业务：Bybit 是一家全球领先的加密货币交易平台，主要提供现货交易、衍生品交易（如永续合约和期货）、杠杆交易，以及资产管理服务（包括质押和理财产品）。其平台支持超过 100 种加密货币交易对，以其高性能交易引擎（每秒可处理 10 万笔交易）和用户友好界面著称。

创始人：由 Ben Zhou（周子皓）创立，他曾在中国外汇交易领域积累丰富经验。

目标用户：服务于全球散户和机构投资者，覆盖超过 160 个国家和地区。截至 2025 年，平台用户数已超过 3000 万。

产品认可：2020 年推出现货交易，2021 年新增 Launchpool（新币认购）和云挖矿服务，逐步从单一的衍生品平台向综合性的交易所转型。

全球布局：2021 年因监管压力从新加坡迁至迪拜，并在欧洲、拉美等地设立运营中心。用户数从 2020 年的 100 万增长至 2021 年底的 1000 万。

市场表现：在 2021 年牛市期间，Bybit 日交易量多次突破 100 亿美元，跻身全球前五大加密交易所。至 2024 年，其交易量稳定位居全球前三，仅次于 Binance 和 OKX，衍生品市场贡献尤为突出。根据 CoinMarketCap 和 CoinGecko 数据，其 24 小时交易量长期稳定在 50 至 100 亿美元之间。此外，2024 年其衍生品交易量首次占据全球市场的 20% 以上。

技术能力：高性能交易引擎和毫秒级低延迟，在高频交易者中颇受欢迎。

产品多样性：从合约到现货、NFT 和 Web3 服务，覆盖广泛的用户需求。

用户体验：界面简洁、支持多语言，吸引了大量新兴市场用户。

二、Bybit 被盗事件全流程分析

根据链上分析信息，黑客早在事发前数日便部署了一个恶意智能合约，地址为 0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516。这个合约相当于一个“陷阱”，用于后续攻击时篡改 Bybit 冷钱&包的共享签名逻辑。此时，黑客尚未正式行动，但已埋下伏笔。攻击手段方面，专家推测黑客可能通过社会工程学攻击（如钓鱼邮件或伪装网站）提前获取了 Bybit 内部员工或潜在授权者的电脑控制权，为后续篡改交易界面创造了条件。

伪装交易界面：Bybit 使用 Safe.global 的签名钱&包来存储其以太坊冷钱&包资产。在一次常规的资金转移操作（从冷钱&包转至温钱&包）中，黑客利用事先控制的系统，篡改了多签授权者所看到的交易签名界面。界面显示的地址和 URL 看似合法，但底层代码已被替换为恶意逻辑。欺诈多签授权者：Bybit CEO Ben Zhou 在直播中提到，他是最后一个签名者，并确认了安全网站的链接和钱&包地址无误。然而，黑客通过“掩码交易”技术，在签名过程中将智能合约升级为恶意版本。这种攻击方式使得所有签名者在无意中批准了将资金转移至黑客控制的地址。

冷钱&包被攻破：攻击发生时，Bybit 的以太坊多签冷钱&包（持有约 401,346 枚 ETH 及其他资产，如 stETH 和 mETH）执行了转移操作。黑客利用篡改后的合约逻辑，将资金直接从冷钱&包转移至其控制的地址。初始接收地址为 0x47666...，共接收了约 400,000 枚 ETH（约 11 亿美元）以及 90,000 枚 stETH、15,000 枚 cmETH 等资产，总价值接近 15 亿美元。资金转移完成后，黑客迅速将资金分散到多个新地址（截至报告时已涉及 53 个钱&包），部分通过去中心化交易所（如 Uniswap、Paraswap 和 KyberSwap）将 stETH 和 mETH 兑换为 ETH，以混淆资金流向。区块链分析公司 Arkham Intelligence 的实时追踪显示，资金被分割并转移，旨在掩盖踪迹。

异常交易被发现：链上分析师 ZachXBT 在事发当日通过社交媒体首次报告了 Bybit 钱&包的异常资金流出，金额高达 14.6 亿美元，并分享了黑客地址。同时，“鲸鱼警报”服务也检测到了约 401,000 枚 ETH（约 11 亿美元）的转移，引发社区广泛关注。Bybit 官方随后发布声明，承认其 ETH 冷钱&包遭遇了“复杂攻击”，交易签名界面被伪装，导致资金被盗。CEO Ben Zhou 同时通过直播和社交媒体帖子确认，仅 ETH 冷钱&包受到影响，其他钱&包安全，变钱功能正常运行。

事件曝光后，Bybit 面临大规模变钱请求。CEO 称，过去两小时内变钱请求达到平时近百倍的水平，至直播时有 4000 笔待处理订单。ETH 价格因恐慌情绪下跌超过 3%，市场担忧黑客抛售压力。Bybit 表示已处理了 70% 的变钱请求，并通过合作伙伴提供的过桥贷款补充了 ETH 流动性。在资金追踪与调查方面，Bybit 联合了链上分析公司（如 Arkham 和 Elliptic）追踪被盗资金，发现黑客将部分 ETH 转换为 BTC 并通过混币服务进行“清洗”。Elliptic 和 ZachXBT 指出，这次攻击的模式与朝鲜 Lazarus Group 过去的操作手法类似，可能是一次国家支持的骇客行动。后续消息显示，包括 Bitget 在内的多家交易所向 Bybit 转移了总计 40,000 枚 ETH（约 1.05 亿美元）作为支持，体现了行业协作。Bybit 称已向本国报案，并与 Safe 团队合作调查攻击源头（可能源于签名者电脑被入侵或内部服务器漏洞）。需注意，以上调查进展仅为当时的信息，最终结果请以官方公告为准。

技术细节与攻击手段分析

黑客通过伪装交易授权界面，使多签者批准的交易表面上指向温钱&包，实则可改变冷钱&包的控制权。这种高级钓鱼技术需要对目标的内部流程有深入了解。

Bybit 的 ETH 冷钱&包使用了安全的“多签”协议，即需要多个授权者共同签名才能执行交易。黑客可能控制了至少 3 个签名者的设备，入侵并更改了前端网页，以此绕过了安全检查。有安全专家推测，黑客是通过钓鱼或恶意软件侵入员工电脑，提前植入恶意代码，并等待时机发动攻击。据 Bybit 的工作人员称，有猜测指向此次攻击可能为朝鲜黑客所为，并附有此前美国 FBI 发布的相关通缉令作为参考。

至于最终是监守自盗、朝鲜黑客所为，还是其他方面的栽赃嫁祸，目前尚无法确定。真正的答案有待时间及官方调查给出。

本文内容仅为事件经过的编辑性整理与分析，不构成任何形式的投资建议或买卖诱导。加密货币市场具有高风险特性，本文所有提及的价格预测、行情判断均仅供参考，不得被视为确定性结论。请广大读者基于自身风险承受能力进行独立判断，理性参与市场。如涉及项目进展、数据变化，请以官方公告、交易所页面或实时行情平台为准。