2025年2月21日，加密貨幣交易所Bybit遭遇了大規模安全漏洞事件，導致其以太坊冷錢包中的約15億美元資產被盜。這起事件被認為是加密貨幣史上金額最大的單一竊盜案，超過了先前如Poly Network（2021年，6.11億美元）和Ronin Network（2022年，6.2億美元）的記錄，對產業造成了衝擊性的影響。
本文旨在對駭客事件與其資金清洗手法進行介紹的前提下，警示在未來若干個月內，即將出現針對OTC 群體與Crypto 支付公司的大規模凍結潮。
盜竊經過
根據Bybit Ben Zhou 的描述以及Bitrace 的初步調查，竊盜過程如下：
攻擊準備：駭客在事發前至少三天（即2月19日）部署了一個惡意智能合約（地址：0xbDd077f651EBe7f7b3cE16fe5F2b025BE2969516），為後續攻擊埋下伏筆。
入侵多簽系統：Bybit的以太坊冷錢包採用多重簽章機制，通常需要多個授權方簽章才能執行交易。駭客透過未知手段侵入了管理多簽錢包的電腦，可能是透過偽裝的介面或惡意軟體。
偽裝交易：在2月21日，Bybit計畫將冷錢包中的ETH轉移至熱錢包以滿足日常交易需求。駭客利用這一時機，將交易介面偽裝成正常操作，誘導簽署者確認了一筆看似合法的交易。然而，簽名實際執行的是一條更改冷錢包智慧合約邏輯的指令。
資金轉移：指令生效後，駭客迅速控制了冷錢包，將當時價值約15 億美元的ETH 以及ETH 質押憑證轉移至一個未知地址（初步追蹤地址：0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2）。隨後，資金分散至多個錢包並開始洗錢流程。
洗錢手法
資金的清洗大致可以分為兩個階段：
第一個階段是早期的資金拆分階段，攻擊者迅速將ETH 質押憑證代幣兌換為ETH 代幣，而不是存在凍結可能的穩定幣，接著將ETH 嚴格拆分轉移至下級地址，準備清洗。
正是在這個階段，攻擊者試圖將15,000 mETH 兌換成ETH 的行為被制止，產業進而挽回了這部分損失。
第二個階段是資金清洗工作。攻擊者會將已經獲得的ETH 透過中心化或去中心化的產業基礎設施進行轉移，這些基礎設施包括Chainflip、Thorchain、Uniswap、eXch 等。部分協議用於資金兌換，部分協議則用於資金跨鏈轉移。
截至目前，已經有大量被盜資金被兌換為BTC、DOGE、SOL 等layer1 代幣進行轉移，甚至發行memecoin 或將資金轉入交易所地址進行資金混淆。
Bitrace 正在對被盜資金相關地址進行監控追踪，這部分威脅訊息會在BitracePro 以及Detrust 中同步推送，防止用戶不慎收取被盜資金。
前科分析
對資金鏈路中的0x457 進行分析發現，該地址與發生在2024 年10 月BingX 交易所被盜事件與2025 年1 月的Phemex 交易所被盜事件有關，表明這三起攻擊事件的背後主謀為同一個實體。
結合其高度工業化的資金清洗手法與攻擊手段，部分區塊鏈安全從業者將此事件歸咎為臭名昭著的黑客組織拉撒路，後者在過去若干年時間內，對Crypto 行業的機構或基礎設施發起了多次網絡攻擊，並非法攫取價值數十億美金的加密貨幣。
凍結危機
Bitrace 在過去數年的調查過程中，發現該組織除了使用無許可的行業基礎設施進行資金清洗外，還會大量使用中心化平台進行傾銷，這直接導致大量故意或非故意收取贓物的交易所用戶帳戶被風控，OTC 商與支付機構的業務地址被泰達凍結。
2024 年，日本加密貨幣交易所DMM 被拉撒路攻擊，價值高達6 億美元的比特幣被非法轉移。其中攻擊者將資金橋接至東南亞地區加密貨幣支付機構HuionePay，導致後者的熱錢包地址被泰達凍結，價值超過2,900 萬美金被鎖定無法轉移；
2023 年，Poloniex 被攻擊，攻擊者疑似拉撒路集團，價值超過1 億美金的資金被非法轉移。其中部分資金被透過場外交易的方式進行資金清洗，導致大量OTC 商的業務地址被凍結，或者用於存放業務資金的交易所帳戶被風控，對業務活動造成巨大影響。
總結
頻繁的駭客攻擊事件已經對我們產業造成了巨大的損失，而後續的資金清洗活動也污染了更多個人與機構地址，對這些無辜者與潛在的受害者而言，更應當在業務活動中關注這些威脅資金，防止自身受到影響。
