Bybit 发布此次黑客盗币事件报告Safe承认开发人员机器被入侵

　Bybit 发布此次黑客盗币事件报告：app.safe.global 的良性 JavaScript 文件似乎已于 2025 年 2 月 19 日 15：29：25 UTC 被恶意代码替换，具体针对的是 Bybit 的 EthereumMultisig 冷钱包。该攻击旨在在下一次 Bybit 交易期间激活。根据对 Bybit 签名者机器的调查结果和在 Wayback Archive 上发现的缓存恶意 JavaScript 负载，倾向于结论s Safe.Global 的 AWS S3 或 CloudFront 帐户/AP| 密钥可能已泄露或被盗用。

　　Safe 官方声明表示，此次针对 Bybit Safe 的攻击是通过被入侵的 Safe{Wallet} 开发人员机器实现的，从而导致伪装的恶意交易。

币安创始人 CZ 表示，我通常不会批评其他行业参与者，但 Safe 在使用模糊的语言来掩盖问题。“入侵 Safe {Wallet} 开发人员机器”是什么意思？他们是如何入侵这台特定机器的？是社会工程学、病毒等吗？开发人员机器如何访问“由 Bybit 运营的帐户”？一些代码从这台开发人员机器直接部署到生产环境中？他们是如何欺骗多个签名者的 Ledger 验证步骤的？是盲签吗？还是签名者没有正确验证？14 亿美元是使用 Safe 管理的最大地址吗？他们为什么不针对其他人？其他“自我托管、多重签名”钱包提供商和用户可以从中学到什么教训？此外 CZ 否认币安也使用了 Safe 保存资产。

慢雾余弦表示，Safe 确实智能合约部分没问题（链上很容易验证），但前端被篡改伪造达到欺骗效果。至于为什么被篡改，等 Safe 官方的细节披露。Safe 算是一种安全基础设施，理论上所有用这个多签钱包的人都可能会类似 Bybit 这样被盗。细思恐极的是，所有其它带前端、API 等用户交互服务的都可能会有这种风险。这也是一种经典的供应链攻击。巨额/大额资产的安全管理模型需要有一次大升级。

Deribit Lin 表示，是 Bybit 或 Safe 区别不大，核心是要有多渠道的验证审核流程和自有资产监控和预警，不能依赖一个软件/平台来处理几亿和几十亿的财务流程。而当下币圈更倾向于全自动化，客户体验为上，销售驱动而内控精简，这种都是风险。Deribit 也在 3 年前被盗过，后续的修改就是重视安全而非客户体验，人工审核转账，内部人员分权限，所有电脑实时监控，持续新增对接的托管机构来分散风险。

数字资产托管和钱包技术提供商 Cobo 宣布推出 Safe{Wallet} 协签服务，用户可在托管地址内独立解析并风控 Safe 多签交易，提升交易安全性。该方案在 Safe{Wallet} 中引入 Cobo 地址 MPC 或 Web3 钱包参与签名，作为独立第三方，确保签名解决方案的独立性，避免单点风险。同时，结合 Cobo 风控系统，对每笔交易进行异常检测，及时阻止潜在非预期行为，并通过 Cobo Guard 实现交易审核与交叉验证，确保交易的真实有效。