Bybit 的簽署者批准了一筆他們看不見的交易——15 億美元消失

Bybit 成立於 2018 年，已成長為全球交易量最大的加密貨幣交易所之一，持有數百億美元的客戶資產。其主要以太坊冷錢包——存放交易所自身以太幣的離線金庫——是一個多簽錢包，透過第三方簽署介面 Safe{Wallet} 簽署交易。

2025 年 2 月 19 日，入侵 Safe{Wallet} 基礎設施的攻擊者在其前端注入惡意程式碼。兩天後，當 Bybit 從冷錢包發起一筆例行轉帳時，遭劫持的介面向三名簽署者顯示了一筆經過偽裝的交易。他們批准了自以為正常的交易；401,000 ETH——約 15 億美元——轉入攻擊者控制的地址，成為加密貨幣史上最大的竊案。

Bybit 維持提款正常運作，以投資者的過渡貸款填補缺口，並啟動 Lazarus 懸賞計畫追蹤資金。Sygnia 與 Verichains 的鑑識調查，加上 Elliptic 與 Arkham 的區塊鏈分析，將這起竊案歸因於北韓的 Lazarus Group。數日內，至少 3 億美元已被洗錢至無法追回，總額約五分之一被認定為無法追回。

駭客劫持了 Safe{Wallet} 的前端，顯示一筆經過偽裝的交易；簽署者批准了它，401,000 ETH（約 15 億美元）從冷錢包流出。

多簽的安全性僅取決於簽署者能驗證的內容。遭入侵的簽署介面可以顯示一筆交易卻提交另一筆，而批准動作就跟著螢幕走。

Bybit 將約 15 億美元集中於單一以太坊冷錢包，並置於單一簽署流程之後。一個遭偽造的螢幕就清空了整個金庫。

攻擊者取道錢包供應商的基礎設施，而非 Bybit 的基礎設施。信任邊界悄然延伸至交易所無人控制的第三方前端。

多重簽名只能保護簽署者能驗證的內容——應將簽署介面視為不可信任，並確認實際的交易，而非顯示交易的螢幕。