加密货币审计可能带来错误的安全感，第三季度黑客攻击造成 11.8 亿美元损失

前言

安全审计常被视为加密货币项目已采取措施保护用户和资产的证明。但审计的价值取决于检查了哪些项目、完成时间距今多久，以及发现的弱点是否已得到处理。区块链安全公司 Hacken 的报告警告，投资者可能会把范围有限的审查误当成整个平台开户安全无虞的保证。Hacken 记录第三季度 107 起事件造成 11.8 亿美元的加密货币损失，比前一季度增加 55%。其中许多损失涉及遭入侵的供应商和开发工具、尚未安装的安全修补程序，或被排除在审计范围之外的组件。调查结果凸显一个核心问题：单靠审计徽章，无法证明所有处理资金的系统都经过测试或仍然安全。

简要概览

Hacken 的报告统计，第三季度 107 起事件共造成 11.8 亿美元损失，比前一季度增加 55%。其中约 9.068 亿美元与遭入侵的供应商或开发工具、尚未安装的安全修补程序，或未纳入最近一次审查的组件有关。该公司指出，审计可能漏掉钱包、签名系统和第三方软件等重要领域。重大案例包括 Bitget 损失至少 3.52 亿美元，以及一场影响三个跨链桥和跨链协议的漏洞攻击，在六小时内造成超过 3,500 万美元损失。投资者和用户应将审计结果视为有限的证据，而不是全面的安全保证。

正文

加密货币安全审计旨在攻击者利用漏洞之前，找出代码和系统中的弱点。然而，审计不一定会全面检查与项目相关的每项服务、依赖项、操作流程或访问控制机制。Hacken 最新的调查结果，提醒人们注意“项目做过审计”与“整个项目的安全环境都经过检查”之间的差别。

Hacken 周四发布的报告指出，黑客在第三季度通过 107 起事件窃取了 11.8 亿美元。这个金额比前一季度高出 55%。其中 9.068 亿美元归因于遭入侵的供应商或开发工具、已公开但尚未安装的安全修补程序，或最近一次安全审查未涵盖的组件。这些数据表明，损失不仅可能来自项目自身代码的缺陷，也可能源于其所依赖的更广泛系统和服务的弱点。

Hacken 联合创始人兼董事会董事 Andrii Matiukhin 接受 CoinDesk 采访时，指出审计范围一直是个难题。他表示，检查每个会接触资金或影响项目经济效益的组件，成本可能很高。因此，团队可能缩小审计范围，只聚焦于服务中选定的关键部分。从成本和时间的角度来看，这种做法或许可以理解，但也可能导致其他重要组件没有受到同等程度的检查。

当用户将审计徽章解读为整个平台都已接受检查的证明时，问题就格外重要。实际上，审计可能只涵盖指定的智能合约，或应用程序中明确界定的一部分。钱包、签名系统、第三方产品、基础设施和操作设置可能都不在审查范围内。如果攻击者锁定其中某个被排除的环节，审计徽章对防范这类攻击可能帮助不大。

Matiukhin 表示，客户可能看到新推出的项目有审计徽章，就以为整个系统都经过审查，最后却因从未测试过的密钥、供应商或设置而蒙受损失。对评估安全声明的投资者来说，这一区别十分重要。审查说明的是在特定时间内，按照所述范围执行了哪些工作；它不会自动证明每个连接的组件都安全，也无法保证项目在后续变更后仍然安全。

报告指出，该期间最大的事件是加密货币交易所 Bitget 于 9 月遭受攻击。根据 Hacken 的报告，攻击者利用第三方安全产品中的漏洞，取得其提现基础设施的访问权限，导致交易所损失至少 3.52 亿美元。此案例说明，服务供应商或安全工具可能成为进入控制资金流动系统的途径，也凸显只审查交易所自身的应用程序代码，可能无法发现外部产品带来的风险。

其他案例则显示，问题不只发生在交易所。硬件钱包制造商 Ledger 表示，该公司在 CryptoBilis（一家东南亚经销商）销售的一台设备中，发现未经授权的硬件“间谍”植入物。由此造成的损失约为 9,300 万美元。这起事件指出，硬件供应和配送环节也可能带来风险，而只针对软件代码进行的审计，未必涵盖这些领域。

Hacken 还指出，7 月一场持续六小时的漏洞攻击，造成三个加密货币跨链桥和跨链协议损失超过 3,500 万美元。攻击者控制 AFX Trade 的验证者密钥后，该平台损失 2,400 万美元。报告还列出 Liquid Network 损失 3.19 亿美元、Tectonic 至少损失 7,500 万美元，以及 Coldcard 钱包软件约损失 1.14 亿美元。这些事件据报有不同的起因，但合在一起显示，涉及密钥、基础设施和连接系统的弱点可能造成重大后果。

报告还检查了 12 家衍生品交易所和预测市场的安全安排。Hacken 发现，两家主要平台超过 7 亿美元的安全资产，依赖一种需要三个签名的四密钥签名机制，或依赖持有人未公开身份的管理密钥。该公司在报告发布前没有透露平台名称，也未提供详细评估。Matiukhin 表示，Hacken 没有发现存在正在遭利用的漏洞，但认为考虑到涉及的金额，部分安排并不充分。

他强调，问题并非指受检平台系统中存在已知且正在运行的漏洞。Hacken 发现的是一些密钥管理配置，认为以平台规模而言，安全性不足。这一区别很重要：安全问题不一定代表已经发生攻击，但可能表示现有防护措施与受保护资产的价值或运营重要性不相称。

Hacken 还提到处理已知漏洞的延误。如果多个区块链依赖相同软件，却在不同时间应用更新，延误可能带来特别严重的后果。Matiukhin 表示，团队有时会将重大漏洞列为低优先级，导致修补程序延后安装，甚至不予采用。在快速变化的技术环境中，即使修补程序已经公开，只要受影响的系统没有及时安装，风险就不会因此消失。

报告将责任归于持有客户资金的公司。这些公司需要追踪漏洞、了解哪些系统和供应商受到影响，并及时安装安全修补程序。数月或数年前完成的审计，无法取代持续的安全维护，尤其是软件、依赖项、人员和操作流程会随时间改变。

对用户和投资者而言，实际的启示是不要只看有没有审计徽章。值得询问的问题包括：检查了哪些组件、审查何时进行、哪些部分被排除、是否考虑第三方依赖项，以及项目如何处理审计后发现的漏洞。这些答案不能保证事件不会发生，但能帮助厘清审计能、也不能证明什么。安全是一个持续进行的过程，而非一次性的认证。

重点信息表