Indodax 熱錢包存放 2200 萬美元——一次入侵同時掏空六條鏈

Indodax 是印尼最大的加密貨幣交易所，擁有逾 600 萬名用戶，其運作的熱錢包——即連接網際網路、用於日常提款的錢包——在多條區塊鏈上持有數千萬美元。2024 年 9 月 11 日，攻擊者送出逾 150 筆可疑交易，掏空約 2200 萬美元：其中約 1460 萬美元為 ERC-20 代幣、258 萬美元為 Polygon 資產、240 萬美元為波場、142 萬美元為比特幣，另有較小金額為 Optimism 上的以太坊。

Indodax 同日將網頁與行動應用程式下線，稱之為「全面維護」，並告知用戶其餘額仍有全額儲備支持。追蹤被盜資金的區塊鏈鑑識公司——包括 Cyvers、SlowMist 與 PeckShield——表示，此次攻擊手法以及贓款透過兌換成 ETH、TRON、Polygon 與比特幣來洗白的方式，與北韓的 Lazarus Group 高度相似；該組織被歸咎於 WazirX 與 Bybit 交易所遭駭事件。目前尚無任何一方出面承認，Indodax 亦未確認此歸因。

印尼衍生品監管機構 Bappebti 傳喚 Indodax 要求說明，並在監控該交易所應對措施的同時，呼籲客戶保持冷靜。Indodax 表示其持有約 3.69 億美元儲備——超過被盜金額的十倍——並承諾從這筆緩衝資金中全額補償受影響用戶，而非將損失轉嫁給他們。

攻擊者在一場入侵中於比特幣、以太坊、波場與 Polygon 上掏空 2200 萬美元；Indodax 承諾以 3.69 億美元儲備彌補損失。

數千萬美元存放在熱錢包中——可透過網際網路存取以進行例行提款——而非交易所用於存放大部分客戶資金的冷錢包、離線儲存。

這些熱錢包內的餘額分散於六條不同的區塊鏈，因此單一遭入侵的存取點便能在同一批交易中掏空比特幣、以太坊、波場與 Polygon 的持倉。

在 Indodax 察覺並將平台下線之前，已有逾 150 筆交易送出，顯示其監控機制是在資金早已流動之後才發現入侵。

為提款而保持可觸及的資金，就是攻擊者可觸及的資金。交易所保留的熱錢包越少、單一錢包背後的鏈越少，一次入侵能奪走的就越少。

Indodax 在因維護而下線後恢復了平台，並表示將以自身儲備彌補用戶損失。Bappebti 持續對該交易所進行審查，印尼法律評論人士則主張，此次入侵本身即顯示 Indodax 未達到 Bappebti 與 OJK 對持牌加密貨幣平台所要求的系統可靠性標準。