Mixin Network 在雲端資料庫入侵事件中損失 2 億美元——用戶被告知要承擔一半

2023 年 9 月 23 日凌晨，攻擊者入侵了 Mixin Network 雲端服務供應商的資料庫，盜走了約 2 億美元的主網資產。Mixin 是一個跨鏈轉帳網路，號稱擁有百萬用戶、約 10 億美元的託管資產，並支援 48 條區塊鏈；事發後，它暫停了所有存款和提款，並請來 Google 和安全公司 SlowMist 協助調查。

這次應對措施揭示了該公司的真實架構。一則鏈上訊息向竊賊提出 2,000 萬美元的懸賞，以換取歸還贓款；創辦人馮曉東在中文直播中告訴用戶，Mixin 將恢復最多 50% 的被盜資金，其餘部分將轉換為公司承諾日後回購的債券代幣。批評者指出，所謂「去中心化」基礎設施竟因單一雲端資料庫而失效，實在諷刺。

這起入侵事件正值 2023 年第三方加密貨幣安全事件最嚴重的時期：幾天前，Elliptic 才將 CoinEx 的 5,400 萬美元盜竊案歸咎於北韓的 Lazarus Group；而 Mixin 是一週內第三家透過供應商遭到攻擊的加密貨幣公司，前兩家是 OpenSea 和 Nansen。Mixin 的資產負債表無法像大型交易所那樣吸收相當於其資本五分之一的損失——因此其中一半被轉移到用戶的帳本上，成為紙上債務。

約 2 億美元的用戶加密資產——約占該公司資本的 20%；存款和提款被凍結；用戶獲告知可拿回一半資金，另一半則以 IOU 形式償還

將託管置於單一雲端服務供應商的資料庫之後，重現了去中心化協議本應消除的那個中心點。

對 2 億美元贓款提出 2,000 萬美元懸賞，等於承認該公司無法在技術上追回資金，並希望竊賊願意談判。

50% 恢復承諾加上債券代幣，將營運失敗轉化為用戶承擔的債務，同時讓公司得以存續。

同月 OpenSea、Nansen 和 CoinEx 的供應商入侵事件表明，第三方基礎設施是攻擊面的一部分，而非在其之外。

一個協議可以自稱去中心化，而其用戶的資金卻存放在單一雲端資料庫之後。當託管是中心化的，損失就會落在索賠權最弱的一方——通常是用戶。

在 Mixin 著手修復漏洞期間，存款和提款仍處於暫停狀態，創辦人的直播和鏈上懸賞訊息成為該公司對外的公開交代。50% 恢復加債券代幣的計畫，將用戶失蹤的那一半資金記在他們自己的帳本上，直到 Mixin 能夠回購這些 IOU。這起入侵事件為第三方加密貨幣基礎設施經歷的殘酷季度畫下句點：OpenSea 和 Nansen 透過供應商遭到入侵，CoinEx 在 Elliptic 歸咎於 Lazarus 的突襲中被盜走 5,400 萬美元，而在 Mixin 倒下之前的 104 天內，五起駭客事件共計被盜走近 2.4 億美元。