Gate 研究院：2025 年 1 月安全事件總結

根據 Gate Research 的最新 Web3 行業安全報告指出，1 月份發生了 40 起安全事件，損失約為 8,794 萬美元。事件類型多樣化，賬號被黑是主要威脅，佔總損失的 52%。報告還對關鍵安全事件進行了詳細分析，包括 Phemex 交易所遭遇黑客攻擊、NoOnes 遭遇一次重大安全漏洞、Moby 遭遇私鑰洩露。帳戶黑客攻擊與合約漏洞被確定為本月的主要安全風險，突顯了行業不斷加強安全措施的必要性。

摘要

• 2025 年 1 月，Web3 行業發生了 40 起安全事件，導致損失約 8,794 萬美元，較上月大幅上升。
• 本月的安全事件主要涉及合約漏洞、賬號被盜等攻擊方法。
• 賬號被黑仍然是主要威脅，佔加密行業安全事件總損失的 52%。
• 大部分損失發生在各大公鏈： BSC、Ethereum、Solana 等。
• 本月的重大事件包括 Phemex 交易所遭遇黑客攻擊（損失 7,000 萬美元）、NoOnes 遭遇一次重大安全漏洞（損失 720 萬美元）、Moby 遭遇私鑰洩露（損失 250 萬美元）。

安全事件概述

根據 Slowmist 的數據，2025 年 1 月記錄了 40 起安全事件，損失總額為 8,794 萬美元。攻擊主要涉及合同漏洞、帳號黑客攻擊和其他方法。與 2024 年 12 月份相比，總損失金額環比增長 20 倍。賬號被黑是攻擊的主要原因，共出現 21 次相關的黑客攻擊，佔總數的 52%。官方 X 帳戶和網站仍然是黑客的主要目標。【1】

本月公鏈生態安全事件分佈顯示，AST、BUIDL、FortuneWheel、HORS、IPC、Mosca 六個發生安全事件的項目均為 BSC 生態，累計損失超過 60 萬美元。Moonray、UniLend、SuperVerse、Sorra、LAURA 五起發生安全事件的項目則為 ETH 生態，累計損失超過 28 萬美元。Holoworld AI 和 DAWN 則為 Solana 生態中發生安全事件的項目。這一系列安全事件表明，公鏈生態項目的安全性亟需加強。面對頻繁發生的攻擊和漏洞，BSC 應更加重視智能合約審計、風控機制和鏈上監測手段，提升整體安全標準。

本月有幾個區塊鏈項目遭遇重大安全事故，導致重大財務損失。值得注意的事件包括 Phemex 交易所遭遇黑客攻擊損失 7,000 萬美元、NoOnes 遭遇一次重大安全漏洞損失 720 萬美元、Moby 遭遇私鑰洩露損失 250 萬美元。

一月的重大安全事件

根據官方披露，以下項目 1 月份遭受的損失超過 7,970 萬美元。這些事件突顯了賬號被黑和合約漏洞是兩個最主要的威脅。

• 在 Phemex 遭遇黑客攻擊的事件中，攻擊者從多條鏈上同時抽取大量資產，優先兌換可凍結的穩定幣（如 USDC 和 USDT），隨後按價值順序清算其他代幣。這些操作並非腳本化，而是手動完成，資產被手動發送到新地址進行兌換的，一旦完成，就會傳遞到另一個新地址。
• NoOnes 熱錢包發生了數百筆單筆金額低於 7,000 美元的可疑轉出交易。NoOnes CEO Ray Youssef 在 Telegram 頻道上確認，黑客攻擊發生在 1 月 1 日，原因是其 Solana 跨鏈橋出現漏洞。
• Moby 疑似私鑰洩露，黑客修改執行合約，利用 emergencyWithdrawERC20 函數提取 207 枚 ETH、3.7 枚 BTC、1,470,191 枚 USDC，價值共計約 250 萬美元。

Phemex

項目概況： Phemex 是一家加密貨幣衍生品交易所。 該交易所位於新加坡，由摩根士丹利(Morgan Stanley)的前高管於 2019年創立。 該交易所手續費低廉，流動性高，發展速度相當快，提供易用的圖表與錢包接口。

事件概況： Phemex 於 1 月 23 日被攻擊，損失價值超過 7,000 萬美元的加密貨幣。此次攻擊似乎與其他知名加密交易所的漏洞攻擊模式類似。MetaMask 首席安全研究員 Taylor Monahan 表示：“攻擊者從多條鏈上同時抽取大量資產，優先兌換可凍結的穩定幣（如 USDC 和 USDT），隨後按價值順序清算其他代幣。這些操作並非腳本化，而是手動完成，資產被手動發送到新地址進行兌換的，一旦完成，就會傳遞到另一個新地址。然後這些資產會一直存放著，直到真正的洗錢團隊在下週或下個月將它們取走。”【2】

事故後建議：

• 跨鏈監控與異常模式識別：部署支持多鏈資產流動的實時監控系統，結合 AI 行為分析，識別非腳本化手動操作的異常特徵（如短時間內多鏈資產大額轉移、高頻地址變更等），並設置動態閾值警報。
• 建立行業級風險預警網絡：與 USDT、USDC 等主流穩定幣發行方建立即時通信渠道，簽署預授權協議，允許交易所通過 API 接口在攻擊確認後一鍵觸發資產凍結請求，縮短響應時間。
• 分佈式冷熱錢包混合管理：採用多籤冷錢包存儲 90% 以上資產，熱錢包按需動態分配限額，並通過分片技術將密鑰分散存儲，避免單點突破導致全局損失。

NoOnes

項目概況：NoOnes 是一款金融通訊超級應用程序，通過將人們連接到全球對話（聊天）和世界金融系統（支付）來賦予權力。發展中國家的人民現在將能夠自由地向任何人發送消息，在其市場上交易大約 250 種支付方式，並進行點對點支付——所有這些都可以使用充當價值儲存手段的比特幣錢包。

事件概況：NoOnes 於 2025 年 1 月 1 日在 Ethereum、Tron、Solana 和 BSC 上遭遇攻擊，損失約 720 萬美元。NoOnes 熱錢包發生了數百筆單筆金額低於 7,000 美元的可疑轉出交易。NoOnes CEO Ray Youssef 在 Telegram 頻道上確認，黑客攻擊發生在 1 月 1 日，原因是其 Solana 跨鏈橋出現漏洞。目前，該平臺已關閉受影響的 Solana 跨鏈橋，並表示在完成全面滲透測試前不會恢復 Solana 支持。【3】

事故後建議：

• 加強跨鏈橋安全審計：建議對所有跨鏈橋進行全面安全審計，尤其是針對智能合約和跨鏈協議的漏洞。聘請第三方安全公司進行滲透測試和代碼審查，確保跨鏈橋的安全性。
• 實施多簽名和冷錢包存儲機制：為了減少熱錢包被攻擊的風險，建議採用多簽名（Multi-Signature）機制，要求多人在授權後才能完成大額轉賬。同時，將大部分資金存儲在冷錢包中，僅保留少量資金在熱錢包用於日常交易。
• 引入實時監控和異常交易警報系統：部署實時交易監控系統，對熱錢包的交易行為進行跟蹤和分析。設置異常交易警報，例如單筆交易金額超過一定閾值或短時間內出現大量小額轉賬時，自動觸發警報並暫停交易功能。

Moby

項目概況：Moby 是一種由 SLE（同步流動性引擎）模型驅動的鏈上期權協議，提供市場上最窄的點差、最大的流動性和 Robinhood 級的 UI/UX。

事件概況：鏈上期權協議 Moby 疑似私鑰洩露，黑客修改執行合約，利用 emergencyWithdrawERC20 函數提取 207枚 ETH、3.7 枚BTC、1,470,191 枚USDC，價值共計約 250 萬美元。鏈上期權協議 Moby 在 X 平臺發文稱，為了在近期形勢下進一步保護用戶的資產安全，建議撤銷與以下地址相關的有效批准交易：PositionManager，SettleManager，sRewardRouterV2，mRewardRouterV2。Moby 表示，這些措施是預防措施，以確保錢包安全，目前正在努力恢復和維護一個穩定、安全的環境。【4】

事故後建議：

• 建立分層多籤權限管理機制：將私鑰存儲升級為硬件級冷錢包+多籤方案，分離開發權限與資金控制權。對核心合約的關鍵函數（如 emergencyWithdrawERC20）增設時間鎖+DAO 治理雙重驗證，設置 72 小時延遲執行期，重大操作需社區多籤確認。
• 構建動態授權監控體系：開發鏈上授權實時追蹤面板，集成至用戶儀表盤，顯示所有合約交互權限及風險等級。部署自動授權回收機器人，當檢測到非常規大額轉賬或合約異常時，觸發智能合約級別的授權自動撤回。
• 建立安全事件熔斷響應系統：部署基於機器學習的異常交易檢測模塊，對 emergencyWithdraw 類敏感函數設置多維度風控規則（時間/頻率/數額三維閾值）。開發應急暫停開關，當異常操作觸發預警時，自動凍結合約並啟動全節點驗證流程。

小結

2025 年 1 月，多家 DeFi 項目遭遇安全漏洞攻擊，總計損失數百萬美元的資產。這些事件包括 Phemex 交易所遭遇黑客攻擊、NoOnes 遭遇一次重大安全漏洞、Moby 遭遇私鑰洩露。這些事件暴露了智能合約安全性、跨鏈協議可組合性以及資金池管理的關鍵風險。行業內亟需加強智能合約審計、引入實時監控和多層防護機制，增強平臺的安全性和用戶信任。Gate.io 提醒用戶關注安全動態，選擇可靠平臺並加強個人資產保護。
參考資料：

1. Slowmist, https://hacked.slowmist.io/zh/statistics
2. X, https://x.com/wublockchain12/status/1882605904761340362
3. X, https://x.com/wublockchain12/status/1883310710132035999
4. X, https://x.com/BeosinAlert/status/1877180521710596452

點擊鏈接立即前往

免責聲明 加密貨幣市場投資涉及高風險，建議用戶在做出任何投資決定之前進行獨立研究並充分了解所購買資產和產品的性質。 Gate.io 不對此類投資決策造成的任何損失或損害承擔責任。