MetaEra 联手 CertiK 共同推出 2025 年 2 月安全报告，向行业传递关键的安全信息。
文章作者：0x9999in1，MetaEra
2025 年 2 月，Web 3.0 行业遭遇了一系列安全挑战，包括钱包被盗、代码漏洞、网络钓鱼、访问控制等。与上月相比，2 月的累计损失金额大幅提高，高达 15.264 亿美元。
2 月主要安全大事件为 Bybit，类型为漏洞利用事件，损失金额达到了 14.47 亿美元。此外，报告还深入调查并分析了 2 月十大安全事件、2 月按类型划分的事故损失，以期强化用户安全意识，达到用户教育、防范攻击的作用，以下为具体数据和分析结果。
2025年2 月十大安全事件Bybit：损失金额为 $1,447,063,421
2025 年 2 月 21 日，据链上侦探 ZachXBT 披露，Bybit 平台发生大规模资金流出的情况。事故主要原因是朝鲜黑客组织 Lazarus Group 将恶意代码注入 Safe 的前端，SafeGlobal 的 AWS S3 或 CloudFront 帐户/API 密钥泄露或被盗用。随着，Safe 的服务器被黑导致网页被植入恶意代码，Bybit 的 3 个签名者都是用的 Safe 官方前端网页，从而被篡改签名信息后被盗。
0xInfini：损失金额为 $49,514,633
2025 年 2 月 24 日，稳定币银行 0xinfini 遭黑客入侵，4900 多万美元 USDC 被盗。黑客将其转换为 4900 多万美元 DAI，并购买了 17,696 个 ETH。这些 ETH 随后被转移到一个新的钱包“0xfcc8…6e49”，显示出黑客可能计划套现或进行进一步交易。
zklend：损失金额为 $9,572,151
2025 年 2 月 12 日，Starknet 链上的头部借贷平台 zkLend 遭到攻击，本次被黑事件的核心原因在于空市场中累加器的值可以通过闪电贷中的独特机制来操控放大，并且市场合约采用的 SafeMath 库在进行除法计算时使用直接相除的形式，导致攻击者可以利用放大后的累加器造成向下舍入漏洞来获利。
Ionic：损失金额为 $8,618,419
2025 年 2 月 4 日，Ionic 协议遭遇社会工程攻击，导致攻击者能够将伪造的 Lombard Bitcoin Token（LBTC）作为抵押品使用，该资产部署在 Mode 网络上。伪造的 LBTC 由攻击者于 2025 年 1 月 9 日部署，而 Ionic 记录显示攻击者最早在 2024 年 12 月 12 日左右开始与平台交互。在经过数周的商务开发（BD）交流后，Ionic 团队批准了该假冒资产的抵押品资格，并配备了一个 Balancer 资金池（包含 40 万美元的流动性）及 API3 预言机价格喂价服务。最终，Ionic Mode 主市场接受该伪造 LBTC 作为抵押资产，其供应总量为 250 枚 LBTC。攻击者在自己的钱包中铸造了 250 枚 LBTC，并将其存入 Ionic 作为抵押品，从而盗取了供应资产。
Suji Yan：损失金额为 $3,766,161
2025 年 2 月 27 日，Mask Network 创始人 Suji Yan 发文称，29 岁生日当天，手机上的公共钱包被黑客入侵，所有被盗交易似乎都是手动进行的，持续时间超过 11 分钟。Suji Yan 怀疑私钥可能在生日当天泄露，或遭遇离线攻击。
Bom (Malicious App)：损失金额为 $1,771,734
2025 年 2 月 14 日，多名用户集中反馈钱包资产被盗。经链上数据分析，被盗案例均符合助记词/私钥泄漏的特征。进一步回访受害用户后发现，他们大多曾安装并使用过一款名为 BOM 的应用。深入调查表明，该应用实为精心伪装的诈骗软件，不法分子通过该软件诱导用户授权后，非法获取助记词/私钥权限，进而实施系统性资产转移并隐匿。
Cardex：损失金额为 $400,000
2025 年 2 月 18 日，Abstract 发现 The Portal 内的 Cardex 应用发生安全事件，约 9,000 个钱包受到影响，总计损失约 40 万美元的 ETH。Cardex 前端代码中的密钥泄露，导致会话签名钱包遭到入侵。由于该会话签名钱包被所有会话共享，因此所有在 Cardex 上创建会话的用户都受到了影响。
BADAI：损失金额为 $340,000。
2025 年 2 月 21 日，BADAI 遭到了重大安全攻击，据官方透露：由于集成过程中出现错误，导致两个 LP 上的保护过滤器都将对方拉黑，使得所有与正常的流动性池交互的用户都被错误地拉黑，造成大量用户无法卖出代币。反狙击机制存在重大缺陷，黑客通过逆向工程的方法分析并找到了漏洞，导致了机制失效。
VC Dao：损失金额为 $306,813。Four Meme：损失金额为 $183,345
2025 年 2 月 11 日，Four.Meme 项目遭遇攻击，导致约 18.3 万美元的资金损失。本次漏洞的成因是在 Four.meme 在内盘的 bonding curve process 为 100%，向 DEX 进行迁移时。使用 createAndInitializePoolIfNecessary 创建 PancakeSwap 交易对。没有考虑到交易对已经被提前创建的情况，因为错误的使用了攻击者提前创建并初始化完成的交易对，利用攻击者设置的错误的价格添加了流动性。导致迁移后该 memecoin 的价格暴增，随后攻击者利用手中的 memecoin 将池子中的 WBNB 掏空完成攻击。
关于 CertiK
CertiK 始终致力于持续追踪 Web 3.0 领域的安全趋势，迄今为止已进行 70 余次白帽行动，报告 4,000 多起安全事件，发现 11.5 万多个代码漏洞，保护了超过 3,600 亿美元的数字资产免受潜在损失；并通过年度和季度安全报告的形式，向行业传递关键的安全信息。
关于 MetaEra
MetaEra 是 Web 3.0 行业领先的资讯平台和品牌与增长专家。在全球各地区利用全方位优势资源，为您的品牌管理和业务增长提供创意型解决方案和定制化服务。