诈骗与攻击

大多数盗窃始于你被欺骗，而不是密码学被破解

概念： Threat Landscape, Phishing, Rug Pulls, Contract Exploits, Social Engineering, Technical Attacks, Defense Matrix

:::section{mins=6} 威胁态势 :::

:::lead 在2024年，共发生303起事件，造成22亿美元被窃，但没有一起是对区块链本身的破解。攻击者针对的是人以及运行在链上的应用代码；区块链按设计运行。戴着兜帽破解密码学的黑客形象几乎完全是虚构的。 :::

:::p 首先，理解为什么区块链本身几乎从未被直接攻击很有帮助。要重写像以太坊这样的网络的交易历史，你需要控制多数验证者——这将花费数百亿美元，并会被立即发现。攻击一个人或一个智能合约便宜得多且收益更高：一个钓鱼网站只需几分钱，而收益以百万计。这里的安全是经济学问题：被攻破的不是不可能的东西，而是有利可图的东西。因此目标变成了最薄弱、最便宜的环节——键盘前的人和应用代码，而不是底层的密码学。 :::

:::p 那么钱实际去哪儿了？这些数字背后是专业追踪加密犯罪的公司：Chainalysis 和 Immunefi 跟踪被盗资金的流向，Scam Sniffer 监测钓鱼。根据 Chainalysis，私钥被盗导致了2024年几乎44%的损失。2025年第一季度更为严重：据 Immunefi 估计，私钥和社交工程占据了被盗金额的88%。通过钱包排空器进行的钓鱼——在一次签名后清空钱包的程序——仅2024年就造成4.94亿美元（Scam Sniffer 数据）。智能合约漏洞仍然造成大量损失，但由于审计文化成熟，它们所占比例在下降。尽管名声响亮，抽地毯（rug pull）在2024年仅约9500万美元。因此损失的全貌与新手的直觉相反：不是“聪明的代码攻破了区块链”，而是“被欺骗的人交出了访问权”。 :::

:::p 这些损失中的大多数本可防止。钓鱼是一个意识问题。抽地毯是尽职调查问题——在买入前检查项目。漏洞是审计问题。真正难以在个人层面防御的是像拉撒路集团（Lazarus Group）这样的国家支持的定向攻击，他们有预算、时间和耐心进行数月的准备。 :::

:::p{html} 拉撒路值得单独提及。这个朝鲜组织是世界上最大的加密盗窃团伙：Chainalysis 估计2017年至2025年间大约窃取了67.5亿美元。他们最喜欢的目标不是直接攻击交易所，而是加密项目的开发者和员工：一个假招聘者、一个带恶意代码的“测试作业”，受害者的机器就归他们了。2025年2月21日，他们完成了加密史上最大的一起盗窃——从 Bybit 交易所窃取了15亿美元（401,347 ETH），FBI 确认了归属。Bybit 黑客事件表明，即便是机构级别的多签托管（Safe{Wallet}）也能被通过接管单个开发者的机器绕过——链没有被破坏，但人的环节失败了。我们在 3.2 §1 中逐步讲解了这个案例，其中模拟器让你置身于某个签名者的角色，决定是否签名或拒绝。 :::

:::callout 一栋公寓楼。墙——区块链——是钢筋混凝土；打穿它几乎不可能。但骗子按对讲机并说服你开门（钓鱼）。小偷找到一扇未上锁的一楼窗户（合约漏洞）。开发者收了大家买公寓的钱然后在楼甚至没完工前就消失了（抽地毯）。即使是世界上最坚固的墙也帮不了你，如果你不断让不明来客进来而不核实他们是谁。 :::

:::keypoints{label="要点"}

  • 区块链本身几乎从未被攻破。目标是人和运行在其上的应用代码。你的安全预算应放在习惯和工具上；不信任区块链本身并不能保护你
  • 跟踪资金，而不是头条：私钥被盗和社交工程驱动了绝大多数损失，而抽地毯（尽管名声大）只占一小块。把你的谨慎花在实际流向美元的地方
  • 大多数损失可防：钓鱼是意识差距，抽地毯是尽职调查差距，漏洞是审计差距。例外是像拉撒路这样的国家支持团体，个人层面难以阻止
  • 托管硬件保护的是密钥，不是决策：Bybit 在机构多签仍然完好时损失了15亿美元，因为批准交易的人看到的是伪造界面。最薄弱的环节永远是流程中的人，而不是密钥所在的位置 :::

:::details{badge=Advanced title="跟踪资金：被盗加密如何被追踪——以及如何被洗钱"} :::p{html} 我们在 3.2 §1 中剖析了 Bybit 黑客的机制——被替换的 Safe{Wallet} 界面和盲签——其中有让你以签名者视角操作的模拟器。这里更深的问题是决定偷窃是否有利的问题：一旦15亿美元被盗，它会怎么处理？在这里，加密的透明性利弊并存。被盗 ETH 的每一次移动都是公开且永久的，因此 Chainalysis 和 Elliptic 等公司可以实时逐个地址跟踪。这也是为何可以进行归属：FBI 在五天内将 Bybit 与拉撒路联系起来，分析人士自2017年以来大约追踪到67.5亿美元归该组织，正是因为账本不会忘记。 :::

:::p{html} 对国家级攻击者来说，难点不是偷走——而是把可见的币转换成可用的钱。洗钱手法是分层的：将赃款分到数百个新钱包；在去中心化交易所（DEX）换成其他资产以切断线索；通过跨链桥跳链（这部分解释了为什么桥吸引大量非法流量，详见 3.5 §5）；通过混币器传递资金以断开源头与目的地之间的关联；最后通过愿意视而不见的场外经纪人套现。拉撒路在几周内就用这种方式洗掉了 Bybit 大部分资金。 :::

实际对你的启示是反直觉的：同一个让你感觉暴露的公共账本，也是攻击者的最大问题。这就是为什么交易所能冻结被标记的资金，为什么有些黑客会谈判归还而不是冒着持有被标记币的风险，以及为什么“钱已经没了”在链上不像传统欺诈那样绝对。透明性不会阻止盗窃——但它塑造了小偷之后现实上能做什么，也正是防守方不断改进的原因。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s1 label="检测自己" correct=1 explanation="正确。 私钥大约驱动了2024年44%的损失，和社交工程一起占了2025年第一季度88%。链的密码学不是目标——人和应用代码才是。抽地毯是真实的但只是一小块（2024年约9500万美元）。"} 最大额的加密损失实际上来自哪里？

  • 直接攻破区块链的密码学
  • 私钥被盗和社交工程——人和应用层
  • 抽地毯，远超其他所有类别
  • 矿工和验证者通过区块重组撤销或审查交易 :::

:::section{mins=4} 钓鱼：威胁第一位 :::

:::lead 每个人都见过银行邮件要求你“确认你的信息”。加密钓鱼用的是同一套手法，但有一个改变一切的差别：银行转账可以被撤销，而签名的区块链交易是最终的。没有客服、没有撤销、没有退款。每一次 Approve 都可能是致命的。 :::

:::p{html} 钓鱼是用户面向损失中最大的一类，它利用的是你的注意力，而不是代码。我们在这里建立于在 3.3 §5 中详细讲述的签名、Approve 和 Permit2 的机制——在本节中重要的不是它们如何工作，而是它们如何被用来对付你。你疲惫、急匆匆、看到熟悉的界面——你自动点击 Approve。攻击者需要的只是当下的一个漏洞。钓鱼比更炫的威胁更可怕，因为它能扩展到任何有钱包的人，尝试成本几乎为零。 :::

:::p 它主要有五种形式： :::

:::howto{label="五种主要形式"}

  • 假 dApp——一个视觉上与真实站点一模一样的网站，URL 只差一个字符：如 uniswap.com 而不是 app.uniswap.org；你批准后，代币流向攻击者。
  • Permit 钓鱼——要求你签署链下消息：不花 gas，看起来无害，但签名赋予合约提取你代币的权限。
  • 假空投——一个代币出现在你的钱包里，带有“领取你的代币”链接到恶意网站。
  • 假客服——“MetaMask 客服代表”要求你提供助记词以“解锁钱包”。
  • 项目账户被入侵——真实项目的 Discord 或 Twitter 被攻破，发布“紧急铸造”的链接。 :::

:::p 如何防御？五条基本规则覆盖了大多数情况： :::

:::howto{label="五条基本规则"}

  • 通过书签进入，不要通过搜索。为每个 DeFi 网站保留书签并仅通过它们打开——同名域名的拼写侵占会买搜索广告。
  • 开启预签名模拟。像 Rabby 这样的钱包在你签名前显示交易的真实结果（如何使用见：3.3 §8）。
  • 永远不要把助记词给任何人。任何合法支持都绝不会要求——永远不会。
  • 不要点击来自私信或 Twitter 的“领取空投”。
  • 检查 URL。仅差一个字母就可能是钓鱼。 :::

:::p 钓鱼利用的是注意力。最强的防御是养成在“我想签名”和“我已签名”之间暂停的习惯。恶意站点的黑名单总是落后于新骗局；暂停不会。预签名模拟就是那一刻的暂停：它在你做出自动点击前显示实际会发生什么，把反射性点击变为深思熟虑的决定。 :::

:::callout 在公证处签字。一个合格的公证员会向你展示文本并解释你在签什么。钓鱼是一位假公证员，递给你一份把你公寓转走的契约，伪装成日常的交接表格。它看起来像你预期的文件；后果却与预期相反。预签名模拟是你自己的律师，坐在你旁边，在你落笔前朗读每份文件——“这不会交出钥匙，它会签走公寓。”假公证员的把戏全靠你没有那位律师在房间里。 :::

:::keypoints{label="要点"}

  • 钓鱼无法完全靠工具解决，因为它利用的是你的注意力。每个黑名单都会落后于全新的诈骗域名。持久的防御是习惯：在每次签名前刻意暂停一下
  • 按可逆性对秘密排序：一个批准可以被撤销，被泄露的热钱包可以被排入新地址并清空，但泄露的助记词是不可逆的。那个不可逆的秘密应有不同于其他所有东西的谨慎等级
  • 损害常常在点击后很久才显现：今天捕获的签名可能在几天后用来清空你，所以“什么都没发生，因此没问题”是错误的安慰。如果你签了可疑东西，立即行动——别等证据出现 :::

:::details{badge=Advanced title="Permit 钓鱼的剖析——和 DNS 劫持"} Permit 钓鱼（冰钓）是最残酷的攻击之一，因为受害者看不出任何可疑之处。恶意网站请求一个 EIP-2612 permit 或 Permit2 签名。它不是交易——没有 gas——因此看起来完全良性。但签名授权合约有权提取指定的代币。受害者直到攻击者把 permit 提交链上并提取资金时才会发现，可能是几分钟到几天后。2024年10月，一位 permit 钓鱼受害者一次签名损失了3600万美元（15,079 fwdETH）。

钓鱼也已成为一门有组织的生意。地下服务（Pink Drainer、Inferno Drainer）出售现成的钓鱼工具包——五分钟就能建好一个完整的诈骗站点。Pink Drainer 在2024年5月关闭前估计卷走了8500万美元；Inferno Drainer 声称超过2.5亿美元。所有此类排空器合计，2024年钓鱼损失比上一年增长约67%——这是一个在扩张而非萎缩的产业。

DNS 劫持是最危险的向量之一，因为即便专家也会被欺骗。攻击者劫持了某个合法协议域名的 DNS。你访问真实 URL，但看到的是一个伪造的前端，提议你进行恶意交易。真实案例：Curve Finance（2022年8月，约57万美元）、Balancer（2023年9月，约23.8万美元）；Curve 在2025年5月再次因注册商被攻破而受击。防御：基于 ENS 或托管在 IPFS 的前端，仅通过书签进入，并检查 SSL 证书。这也是为什么即使在“真实” URL 上，预签名模拟依然重要——地址正确并不保证前端是安全的。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s2 label="检测自己" correct=3 explanation="正确。那就是 permit 钓鱼陷阱：链下签名不花 gas，但仍能授予合约权限以清空你的代币。‘无 gas’不等于‘无风险’——请阅读签名授权的内容。"} 一个网站要求你签署一条消息。它不花 gas。是否安全？

  • 是——无 gas 意味着没有交易，所以什么都不能动
  • 是，只要 URL 与协议的官方站点匹配且没有可疑字符
  • 仅在移动设备上安全，因为 iOS 和 Android 会自动阻止恶意签名请求
  • 不是——无 gas 的 permit 签名仍然可以授权清空你的代币 :::

:::section{mins=5} 抽地毯与退出诈骗 :::

:::lead 你早期发现了一个新代币，买入后价格上涨——到早晨它归零，项目网站消失，Telegram 频道被锁。这就是抽地毯：创建者募集了资金然后消失。链记录了每一步；没有什么被“黑”。从一开始你就被卖了一个退出方案。 :::

:::p 抽地毯是有计划的操作，且有多种形态： :::

:::howto{label="抽地毯的类型"}

  • 流动性抽走——创建者只是从 DEX 池中移除流动性。代币技术上仍存在，但没有可卖的对手盘，价格坠至零。危险信号：LP 代币从未被锁定。
  • 铸币并抛售——合约允许创建者无限铸币，他们铸币并在市场上抛售。危险信号：没有最大供应量、存在仅属主可调用的铸币函数。
  • 慢速抽地毯——团队逐步抛售自己的代币并悄然放弃项目。比瞬时抽地毯不明显，但结果相同。迹象：团队持续抛售，更新停止。
  • 蜜罐（honeypot）——你可以买入代币但无法卖出：卖出函数被屏蔽，或卖出时几乎所有资金回到合约（代币内置高达99%的费用）。
  • NFT 抽地毯——创建者收取铸造所得后消失，留下持有者一堆毫无价值的 JPG。 :::

:::p 如何避免？关键在于在购买前读懂红旗。匿名团队无信誉；承诺不现实的回报（每天100%）；未锁定的 LP 代币；未验证或未审计的合约；通过付费影响者和虚假粉丝数进行的激进营销。单独的这些信号不足以证明欺诈，但两个或更多同时出现几乎可以断定是骗局——而放弃的成本为零，错判的代价却是你投入的一切。 :::

:::p 抽地毯是资金充足的戏剧表演。创建者投入营销，制造活跃社区的幻象，雇用影响者，并构建一份充满雄心的“路线图”——这一切都是为了在退出前最大化受害者数量。在牛市时期尤其危险：每天有数百个新项目上线，投资者被 FOMO 控制，没人有时间或兴趣去验证。那些因素（众多目标、低审查）正是抽地毯设计的生存环境。 :::

:::callout 有人邀请你投资一家餐厅。他们给你看漂亮的效果图、设计师菜单、厨师光鲜的 Instagram 照片。你为“装修”汇了钱。一周后你开车去到地址——是一个空铺位，电话关机，从未有过餐厅。整个包装——菜单、厨师、热度——只是让电汇看起来安全的工具。外表光鲜不是项目真实的证据；它只是付费买你信任的预算条目。 :::

:::keypoints{label="要点"}

  • 抽地毯通常筹备数月但在一个区块中执行：在价格移动时，你的反应窗口已关上。因此唯一的防御是在购买前进行检查——触发后没有“及时卖出”可言
  • 炒作期是骗子的收割季：每天数百个新代币和 FOMO 会关闭审查机制。你越觉得“要在它起飞前进场”，那冲动越可能是被卖给你的产品
  • 慢速抽地毯尤其危险，因为没有单一戏剧性时刻：团队在数周内慢慢卖出并疏远，因此没有明显的“现在退出”的警号。跟踪团队是否在卖出以及更新是否悄然停止
  • 放弃的数学对你有利：错过一个真实项目仅损失部分上行潜力，但买入骗局会失去全部本金。犹豫不决时，期望值几乎总是建议放弃 :::

:::details{badge=Advanced title="在付出代价前识别蜜罐和 staged “被黑”"} 蜜罐合约修改了 transfer 函数：允许买入但阻止卖出——或对卖出征收高达99%的“税”。该“税”不是政府征收，而是记入代币合约，将几乎全部卖出金额转给创建者，因此卖出名义上通过但你几乎拿不到钱。有工具可在你投入前检测到这一点——Honeypot.is、Token Sniffer、GoPlus——Rabby 也会通过合约风险分析标记某些蜜罐。规则很简单：在购买任何不熟悉的代币前，用这些工具之一检测。

教科书式案例是 SQUID 代币，2021年10月在 Netflix 系列《鱿鱼游戏》热潮中推出（与 Netflix 无任何关系）。它被宣传为即将推出的Play-to-Earn 游戏的货币，价格从0.01美元涨到约2861美元，增幅超过4万倍。但合约是蜜罐：任何人都能买，只有创建者能卖。成千上万人看到屏幕上的“利润”上涨，但实际上无法退出。2021年11月1日，创建者抽走流动性，价格在几分钟内跌至零，网站和社媒消失；约330万美元被带走。可见的危险信号事先可查：匿名团队、Twitter 与 Telegram 禁止评论、网站错字连篇、没有真实游戏。上述任何一个检测工具都会在首次购买前标记出不可出售的合约。

另一个话题是 LP 锁定。流动性应通过已审查的服务锁定——Team.Finance、Unicrypt 或时间锁合约——两个参数重要：锁定持续时间（三个月弱，一年或更长更好）和被锁 LP 的份额（100% 为好；少于 100% 就值得警惕）。

一些抽地毯伪装成“被黑”。团队上演一次漏洞并宣布“很不幸我们被黑了”，其实是自己在抽资金。伪装事件的迹象：攻击发生在一个可疑完美的时刻（内部时间）；资金转到没有历史的新钱包；项目没有运行赏金计划；事件后团队消失而不是调查。一个典型案例是 Multichain 桥（2023年7月）：被报告“抽走”超过1.25亿美元，但后来发现项目创始人一直独自控制所有 MPC 密钥并被警方拘留；Chainalysis 和独立研究者倾向于认为这是内部作案而不是外部入侵。你对太好看的代币应用的怀疑，同样适用于太方便的“被黑”——当损失利益归属于控制密钥的人时，“我们被黑了”值得与任何其他说法一样的审视。 :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s3 label="检测自己" correct=0 explanation="正确。是否锁定 LP 代币可在链上即时验证——未锁定的流动性意味着创建者可以随时抽走池子。追随者、友好度和影响者炒作都容易伪造，指向错误的方向。"} 在购买新代币前，哪一个危险信号是最直接可检查的？

  • 项目流动性（LP）代币是否被锁定
  • 团队在 Telegram 看起来是否友好
  • 项目在 Twitter 上有多少粉丝
  • 是否有影响者在推广它 :::

:::section{mins=8} 智能合约漏洞 :::

:::lead 2016年6月17日，攻击者找到了 The DAO 合约的漏洞，带走了360万 ETH——当时约6000万美元。这不是诈骗：代码按编写运行。只是写得有漏洞。十年后根本没变。合约漏洞仍然造成数十亿美元损失，单是2024年就有14.2亿美元在310起事件中被抽走。 :::

:::p 这里的问题是有缺陷的代码掌管了大家的钱。造成最多损失的漏洞集合多年来相当稳定，值得知道它们的名字，因为在你读到的每篇事后分析中它们都会出现： :::

:::howto{label="经典漏洞"}

  • 重入（Reentrancy）——在合约更新自身状态之前再次被调用，攻击者得以反复提取尚未递减的余额。这是 The DAO 的漏洞，后果直接导致以太坊分裂为 ETH 和 ETC。它并非历史：自2024年1月以来，重入造成超过3亿美元的损失。
  • 预言机操纵（Oracle manipulation）——攻击者伪造协议依赖的价格源。Mango Markets（2022年10月）因此损失了1.16亿美元；预言机攻击同比上升约31%直至2025年。
  • 闪电贷攻击（Flash-loan attack）——即时、无抵押的数百万贷款，用来移动市场并在同一交易中偿还。尝试成本只是 gas（约100美元）；利润却在百万级。根据 Halborn 的数据，闪电贷在2024年83.3%可归类的漏洞事件中出现。
  • 访问控制（Access control）——关键函数未检查调用者身份。2017年 Parity 钱包漏洞导致超过3000万美元被冻结或丢失，因为所有权可被任何人重新分配。
  • 逻辑错误（Logic error）——错误的数学或错误的假设。Compound（2021年9月）因一个字符错误（> 而不是 >=）误把约9000万美元分配给用户；逻辑错误是2024年150多起事件中最常见的根本原因。 :::

:::p 每一次重大漏洞都会成为行业吸取的教训。The DAO 后出现了 checks-effects-interactions 模式；闪电贷浪潮后出现了稳健的预言机和 TWAP（时间加权平均价）；Parity 后出现了访问控制标准。但复杂性增长速度快于修复：在2025年5月，Sui 上的 Cetus 协议在其流动性计算中因整数溢出漏洞损失约2.23亿美元——这是一个教科书式的逻辑错误，发生在一个全新的生态上，代码曾被审计。 :::

:::p 那么你作为普通用户（不会读 Solidity）如何判断一个协议是否安全？通过代码质量的代理信号。寻找受信誉良好公司（Trail of Bits、OpenZeppelin、Spearbit）审计；有有意义的漏洞赏金（赏金越大，团队在安全上投入的皮肤就越多）；以及在野外运行的时间——一个在野外持有数亿资产多年且无事故的协议，已经经过实战检验，而一个两周前的分叉则没有。以上任何一项都不是保证，但三者都没有则是响亮的警告。更有一个残酷的经济不对称：一次审计费用在4万至10万美元之间，而平均漏洞收益在1000万到3000万美元之间，所以数学上攻击者更有利可图——这也恰恰说明你不能完全把谨慎外包给“它被审计了”。 :::

:::callout 一座按图纸建造、通过专家审查的桥梁。桥看起来牢固；汽车可以通行。但一位工程师发现，在特定负载和特定风力下某个支撑开始振动——整座桥可能倒塌。智能合约审计就是对图纸的那次审查。它能捕捉大多数问题，一个好的公司每次都会抓住明显的问题。但即便是最好的审查者也可能错过没人模拟过的那种负载与风的组合——这就是为什么 Cetus 在被审计的情况下仍然倒下的原因。审计能大幅改变量化胜算；但不能保证桥永远不倒。 :::

:::keypoints{label="要点"}

  • 因为链上没有撤销，安全完全前置在你交互之前：与银行欺诈可以争议不同，这里的“客户保护”就是你在签名前的选择。把你的日常构建围绕那个不可逆瞬间
  • 旧的防御假设不断失效：“攻击者付不起移动价格的成本”随着闪电贷而消亡，“审计代码即安全”在 AI 扩大寻找和利用漏洞时也在走向失效。把任何单一安全声明当作有保质期的信号
  • 没有单一信号足够。综合多个信号：审计、赏金规模、在野外运行时间、现在是否有实时监控。一个绿色勾只是营销；多个独立信号的堆叠才是值得行动的概率
  • 防守者的优势是公共账本：同样让漏洞被利用的透明性也让盗窃得以被追踪、冻结、谈判返还并被起诉。“它按代码运行”不再是安全的法律避风港，正如 Eisenberg 被定罪所示 :::

:::details{badge=Advanced title="闪电贷攻击的剖析，以及被黑后会发生什么"} 闪电贷攻击遵循紧凑剧本，全在单笔交易内，要么全部完成要么全部回滚。首先攻击者通过闪电贷借入数百万无抵押资金。然后他们在 DEX 上操纵某代币的价格——例如通过大额互换移动一个薄池。接着他们利用一个天真地使用链上被扭曲价格作为预言机的协议——例如以被膨胀的抵押借款，或抽干借贷池。最后他们偿还贷款并保留利润。整个过程是一笔交易、一块区块、约100美元 gas。Euler Finance（2023年3月）是典型案例：攻击者用闪电贷让合约相信抵押代币比债务代币少，从而抽干了1.97亿美元。协议层面的防御如今众所周知：使用 Chainlink 预言机而不是原始链上价格、TWAP、多预言机设置——但只有真正采用它们的协议才受保护。

:::p{html} 被黑后会发生什么是另一个生态系统。漏洞赏金付给白帽在犯罪分子之前发现漏洞：Immunefi 至今已支付超过1.2亿美元，其中单笔纪录为 Wormhole 桥漏洞支付的1000万美元。与黑客谈判现在很常见——攻击者以“赏金”和不被起诉为代价归还资金。Euler 是典型：黑客带走1.97亿美元并归还了全部；由于 ETH 在谈判期间上涨，Euler 实际上回收了约2.4亿美元。链上消息成为沟通渠道——协议通过交易输入数据写给攻击者，提出条款。这是不可变公共账本的奇怪上行：贼无法隐藏赃款，因此有时归还是理性的选择。

而且越来越多，链的尽头是法庭。最清晰的案例是 Avraham Eisenberg，他在2022年通过闪电贷价格操纵从 Mango Markets 抽走1.1亿美元并公开称其为“合法交易策略”——即“代码即法律”的辩护。他在2022年12月被捕，2024年4月陪审团驳回了该辩护并判他犯有欺诈和市场操纵罪——这是 DeFi 漏洞的首例定罪。反转是：2025年5月法官因场地技术性问题撤销了这些定罪，显示出此处法律仍在形成，即便执法在收紧。洗钱基础设施也成为目标——混币器 Tornado Cash 因大约4.55亿美元与朝鲜有关资金被美国财政部制裁。对那些抱着“只是巧妙代码”的攻击者的教训是：追踪加上起诉正越来越把公开链上的盗窃变成公开的链上自白。 :::

:::details{badge=Advanced title="AI 在双方：审计变便宜了——攻击也变便宜了"} 上述经济不对称（审计便宜、漏洞昂贵）正被 AI 重塑，而且双向作用。防御端的大型语言模型直接阅读 Solidity、Vyper 和 Move 并对逻辑进行推理，而不仅仅是模式匹配。基准框架（LLM-SmartAudit、iAudit，约91%准确率）在复杂逻辑漏洞上超过了经典静态分析工具如 Slither 和 Mythril。2026 年的研究前沿是具代理性的审计：AI 提出漏洞并由验证引擎证明其存在，杜绝早期 LLM 扫描器的误报问题。其中一个框架重构了 20 起真实的 2025 年后攻击中的 17 起（涉及3.84亿美元损失），并发现了可保护4亿美元 TVL 的四个已确认零日——每10,000 行代码约2.31美元，把分析时间缩短了约97%。实际结果是：重新审计旧的、长期“被信任”的合约现在足够便宜以持续进行，实时监控（例如 Forta）可以在首次攻击交易秒级暂停协议。

:::p{html} 但同样的能力也武装了攻击者。相同的模型能自动扫描成千上万个已部署合约寻找弱点，AI 也大幅降低了对人面对攻击的成本——在本卡片的其他部分用于生成有说服力的钓鱼文案、语音与视频深度伪造来进行社交工程（见 §5）。而 AI 并非防御的万灵药：它会出现幻觉，对深层业务逻辑和跨协议经济不变量仍然困难，而令人警醒的证据是人类审查已经失败：2025年3月，一个重入漏洞在三家审计公司都曾审计的合约中90秒内抽走了4700万美元。

:::p{html} 那么在快速发展的 AI 世界里你到底该做什么？作为一名 用户：偏好那些把审计与实时监控和活跃漏洞赏金配对的协议，同时对“AI 审计”保持怀疑——两者都是信号而不是证明。作为一名 开发者：把 AI 当作第一道筛查，让人类审计者专注于艰难的架构和经济逻辑问题，在涉及资金流动的任何事情上都保留一个人类把关，并假设攻击者在代码发布时就会运行相同的工具。2026 年的共识直白：AI 加人类胜过单独任何一方，而不变的是——审计降低风险，但永远不会归零。 ::: :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s4 label="检测自己" correct=2 explanation="正确。审计是专家审查，而不是安全无漏洞的数学证明。Cetus 曾被审计却仍因逻辑漏洞损失2.23亿美元。把“已审计”视为多种信号之一——结合赏金规模和在野外运行时间权衡，而非保证。"} 一个协议自称“已审计”。这实际上保证了什么？

  • 代码在数学上被证明没有任何漏洞
  • 如果被攻破你的资金会被保险
  • 专家进行了审查并发现了大多数问题——但不一定是全部
  • 团队是匿名但可信的 :::

:::section{mins=5} 社交工程 :::

:::lead 一个“朋友”在 Telegram 上给你发信息，恳求紧急帮忙转账。LinkedIn 上的招聘者给你发来梦寐以求的工作机会。“项目支持”在 Discord 要求你的助记词。以上这些都不是攻击代码——它们攻击你。如果你亲自交出数据或签署交易，任何技术防御都无济于事。 :::

:::p 社交工程是诈骗中最古老的把戏，被移植到加密领域——之所以奏效是因为它绕过了所有技术控制，通过让你自愿做出违背自身利益的事情来达成目标。每个方案都针对特定的人性杠杆： :::

:::howto{label="常见手法"}

  • 假客服——“你的钱包被锁了，输入助记词以解锁。”利用对失去资金的恐惧。
  • 养猪宰杀（Pig butchering）（恋爱诈骗）——在约会应用或 Telegram 上数周建立关系，真的“交朋友”，然后出现一个在假平台上的“投资机会”。利用信任。
  • 冒充——假扮 Vitalik 或项目创始人：“发1 ETH，得2 个回报。”利用权威。
  • 账户被入侵——真实项目的被攻破的 Twitter 发布“紧急迁移，连钱包”。
  • 招聘诈骗——“我们招聘智能合约开发者”，测试作业含恶意 npm 包。运行它你的机器被接管，密钥被窃。这正是拉撒路攻击开发者的方式。 :::

:::p 养猪宰杀值得特别关注，因为它很有耐心。骗子可能在几周内“交朋友”——讨论生活、分享“个人”故事、建立真实感的情感纽带。直到信任建立后，“投资”才出现，到那时受害者不再把对方看作陌生人，更看不出其为骗子。有一个可靠的迹象：如果一个线上熟人最终把谈话引向加密投资，那几乎可以确定是骗局，无论这段关系看起来多么热络。 :::

:::p 五种手法的共同点是技术发挥了作用——但你被说服去覆写它。防御则是一套预先承诺的规则，无论当下感觉如何都要遵守：没有任何合法方需要你的助记词；“发 X 得 2X” 永远是骗局；未经请求的测试作业要求你在主机上运行代码则本质上是敌对的。 :::

:::callout 一个技艺高超的街头魔术师不会直接偷你钱包。他做一段牌戏，讲个笑话，你自己把钱包递给他“帮个忙拿一下”。攻击者也不去破坏你的防线；他创造了一个让你自己关闭防线的情境，让你既感觉聪明又掌控全局。误导的关键不是他讲的谎言，而是他营造的好心情，让你停止核查。 :::

:::keypoints{label="要点"}

  • 一种情绪的突然激增（紧迫、恐惧、奉承或轻松赚钱的快感）本身就是攻击面。把这种感觉当作警报：冲动越强烈，就越值得先停一下不动
  • AI 使这些攻击更便宜且更具说服力：语音和视频深度伪造现在能实时冒充创始人或朋友，所以“我认出了他们的脸/声音”不再是身份的证据。通过单独的渠道核实，绝不要通过最初联系你的那个渠道
  • 你不必很富有才会成为目标：像拉撒路这样的国家集团会盯上开发者和员工以获取访问权限，而不是盯有多少钱的人，把普通求职者变成九位数盗窃的入口 :::

:::details{badge=Advanced title="拉撒路集团，以及看似合法的 dApp 如何收集你的批准"} :::p{html} 拉撒路集团（朝鲜，DPRK）是加密领域最危险的行动者，2017–2025 年间大约窃取了67.5亿美元（Chainalysis）。他们的主要目标不是正面攻击交易所，而是围绕交易所的开发者和员工：假 LinkedIn 招聘者提供“梦寐以求的职位”并发送包含恶意代码的“测试作业”；运行它，你的机器就被接管，私钥被窃。已确认的行动：Bybit（2025年2月，15亿美元，历史上最大盗窃——一名被社会工程攻破的 Safe{Wallet} 开发者让攻击者替换了 Bybit 的 3-of-6 多签签名界面；完整机制在 3.2 §1 分析）；Ronin Bridge（2022年3月，6.2亿美元，通过对 Sky Mavis 工程师的假职位导致 5/9 验证者密钥被妥协）；以及 Atomic Wallet（2023年6月，超过1亿美元，Elliptic 归因）。对抗国家行为者需要流程而非仅仅是工具：专用签名机、硬件钱包，以及整个团队的安全培训。 :::

:::p{html} 更微妙的分支是收集批准：构建一个真正可用的 dApp——一个游戏、工具或 NFT 铸造——其真正目的在于积累代币批准。它按宣称工作，所以没有人觉得不对，但数周或数月后，一旦足够多的钱包授予了无限批准，运营者就会使用这些长期有效的权限一次性清空所有人。2024年7月，Li.Fi 协议的一个漏洞被用来盗走970万美元，受害的钱包正是那153个授予无限批准的钱包。Approve 的机制与撤销在 3.3 §5 中讲解，防御相同——从不授予无限批准，设置明确数量，并定期通过 Revoke.cash 或 Rabby 审查并撤销未使用的权限。 ::: :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s5 label="检测自己" correct=1 explanation="正确。一个在线关系最终转向加密投资通常就是养猪宰杀——数周的信任建立本身就是准备动作，而不是安全信号。那份温情就是武器；平台的光鲜与否无关紧要。"} 一个在网上认识几周的朋友逐渐开始谈论一个很棒的加密投资。这最有可能是什么？

  • 真正的内线消息——他们现在显然信任你了
  • 养猪宰杀——数周的“友谊”是铺垫
  • 只要平台有漂亮网站就是安全的
  • 只有当他们要你的助记词时才有风险 :::

:::section{mins=5} 技术性攻击 :::

:::lead 你没有点击任何东西，没输入助记词，也没批准可疑合约——你只是正常在 Uniswap 上做了一次兑换。结果你损失了0.3%的金额。怎么会？技术性攻击自动运行：你不必犯错，只需进行一次普通操作。 :::

:::p 这是不同类别的威胁：一台机器从你的常规活动中获利，而你并未犯错。主要类型有： :::

:::howto{label="主要类型"}

  • 夹心攻击（MEV）——机器人在内存池看到你的交易，先于你买入（前置），价格上涨，你以更高价买入，机器人随后卖出（再入），赚取差价。防御：设置严格的滑点限制并使用私有内存池如 Flashbots Protect。
  • 地址投毒——攻击者从一个首尾字符与你常用联系人匹配的地址发送0值交易。之后你从历史中复制地址时会复制到攻击者的地址。2024年5月，一名受害者因此损失了6800万美元 WBTC。防御：使用地址簿并验证完整地址，而非仅看首尾字符。
  • 剪贴板恶意软件——你电脑上的恶意软件在你复制地址后更改剪贴板内容。你复制的是正确地址；到粘贴时却变成另一个。防御：粘贴后总是核对地址，并运行反恶意软件。
  • 尘埃攻击（Dust attack）——向你的地址发送微小代币以追踪你并为之后的社工设局。处理办法：忽略未知代币，绝不与它们互动。 :::

:::p{html} 一个实用的帮手：像 DeBank 的投资组合追踪器现在会把这些标注为“诈骗”交易并让你在历史中过滤它们。这些标签主要覆盖本卡片中两件事——未经请求的诈骗代币和假空投（见 §2 陷阱）以及地址投毒创建的相似条目。接下来的规则简单而绝对：永远不要与未经请求出现的代币互动，且从交易历史复制地址前务必核对每一个字符。 :::

:::p 这些攻击的共同点是自动化与规模化：攻击者一次性针对成千上万受害者，而对每个目标无需手工操作。这也提示了防御的方向——它也必须自动化。你不能在每次交换上都保持超常警惕，所以你应当一次性设置防护栏并让它们运行：针对 MEV 的私有内存池、转账使用地址簿、剪贴板的反恶意软件以及忽略任何未被邀请就落入钱包的东西的习惯。 :::

:::callout 你在排队买咖啡，要花3美元买最后一杯。前面的人听到你的订单，先买下那最后一杯花3美元，然后马上以3.10美元卖给你——在咖啡师眨眼之前完成。这就是夹心攻击：机器人看到你在公共内存池里的订单（你的兑换），抢先买入并在你之后卖回给你以更劣价格。你还是喝到咖啡；只是每次不防护订单就悄悄付了中间人的差价。 :::

:::keypoints{label="要点"}

  • 这些攻击不需要你犯错；普通操作就足够，所以警觉并非防御。你应当一次性设置自动化防护栏，而不是试图在每笔交易中超前反应
  • 公共内存池使你易被前置：你的兑换在执行前可见，这给夹心机器人提供了机会。通过私有内存池路由可从根源上移除可见性
  • 你的交易历史是可被攻击者写入的：任何人都可以在其中植入相似地址，所以不要直接信任它的便利性。从你自己的地址簿复制地址，而非历史条目
  • 部分损失是操作系统问题：剪贴板恶意软件在你电脑上运行，钱包安全无法阻止它。每次转移真实价值时用肉眼核对粘贴后的地址 :::

:::details{badge=Advanced title="夹心攻击的剖析——以及通过闪电贷的治理攻击"} 逐步走一笔夹心交易。你提交一笔 USDC→ETH 的兑换，设定1%滑点。一个 MEV 机器人在公共内存池中看到你的待处理交易并在同一块内行动：它在你之前买入 ETH（前置），把 ETH 价格上推约0.5%。你的兑换随后以更差的价格执行——仍在你1%容忍范围内，所以看起来没问题。机器人立刻再卖出（再入），赚取约0.3%。单笔交易很小，但每天成千上万笔时累积就是数百万。防御是针对根本原因——可见性：Flashbots Protect 或 MEV Blocker 把你的交易通过私有内存池路由，这样机器人就看不到它；更严格的滑点限制即便被看见也能限制被抽取的额度。

:::p{html} 更严重的变种针对协议而不是兑换：治理攻击。攻击者收购或借入治理代币并通过恶意提案投票——抽干金库、修改关键参数或白名单一个敌对合约。危险的形式是闪电贷治理攻击：借代币、投票、然后在单笔交易内归还，因此实际上没有真实资本风险（这和第 §4 节的闪电贷原语相同，只是目标换成了投票箱而非价格预言机）。典型案例如 Beanstalk（2022年4月）：攻击者用闪电贷借入约10亿美元的稳定币，买入足够治理代币，并调用一个 emergencyCommit() 函数，使超多数提案立即执行，且无延迟。恶意提案抽干了1.82亿美元金库——全在一个区块内，没人能反应；之后该项目放弃了链上治理改用多签。防御是结构性的：执行延时的时间锁（给每个人在提案通过后有时间反应并退出，如果是恶意的）；最小投票期；委托给可信代表；以及 snapshot 投票——离链投票按历史余额加权，一笔瞬时闪电贷无法左右。Snapshot 明确指出最安全的修复是那些单笔瞬时交易无法触及的。 ::: :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s6 label="检测自己" correct=2 explanation="正确。任何人都可以向你发送一个首尾字符相似的0值交易，从而在历史中种下相似地址——这就是地址投毒，曾导致一名受害者损失6800万美元。请从地址簿复制并核对完整地址的每个字符。"} 你准备发送资金并从交易历史中复制收款地址。为什么这样有风险？

  • 历史总是过时并显示旧余额
  • 从交易历史复制会添加元数据，从而增加交易大小和费用
  • 攻击者可以通过地址投毒把相似地址种入历史
  • 交易历史条目在若干区块确认后会被设为复制保护 :::

:::section{mins=4} 如何保护自己 :::

:::lead 少数几条简单规则可以覆盖大多数风险。没有单一工具能救你于一切，但工具加习惯构成的体系能真正起作用。 :::

:::p 从最低配置开始。以下都不算奇技淫巧，合起来可以中和本卡描述的大多数风险： :::

:::howto{label="最低配置"}

  • Rabby，带钓鱼检测与预签名模拟——在你签名前显示交易的真实结果。
  • 硬件钱包（Ledger、Trezor）用于较大金额——密钥永远不离开设备。我们在 3.1 §6 中讲了如何及为什么使用。
  • 将助记词写在纸或金属上，离线保存——永不保存在文件或云端。
  • 为每个 DeFi 站点使用书签——仅通过书签进入。
  • 定期撤销未使用的批准，通过 Revoke.cash 或 Rabby。
  • Flashbots Protect（或类似的私有 RPC）以防 MEV。
  • 常识——若优惠好到难以置信，就是骗局。 :::

:::p 层叠使用的要点在于每个工具覆盖另一个的盲点。钓鱼检测可能不知道一个全新的骗局站点——但模拟仍然会显示交易是敌对的。硬件钱包保护你的密钥——但不能防止你自愿签署恶意交易。批准监控不能阻止攻击——但能让你及早发现。把这些工具映射到本卡的威胁上，最低配置如下： :::

:::p{html}

层工具防护对象
浏览器Rabby + 钓鱼检测假站点（§2）
签名预签名模拟恶意交易（§2、§4）
密钥存储Ledger / Trezor密钥被盗
备份助记词金属或离线保存访问丧失
监控DeBank + Rabby 批准监控泄漏的批准（§5、§6）
网络Flashbots ProtectMEV / 夹心（§6）
心态DYOR，怀疑精神社交工程（§3、§5）
:::

:::p 习惯与工具同等重要。在连接钱包前检查 URL、在签名前阅读模拟、每周审查批准、对“好到难以置信”的优惠保持怀疑——这些要成为你的反射动作。 :::

:::callout 为登山做装备：头盔保护你的头，但不能保护你的脚。安全带能抓住坠落但挡不住落石。头灯让你看得见但不会保暖。没有一样东西能救你于一切——但整套装备极大提高你回家的概率。每件工具覆盖它自己的风险区域；你不选“最好的”一件，而是携带整套。装备只是半部分——另一半是做过这条路的人才会有的习惯。 :::

:::keypoints{label="要点"}

  • 安全是一个堆栈：每一层覆盖其他层的盲点。生产性的问题总是“哪个缺口仍未覆盖”，而不是“哪个工具最好”。买了一件好工具就停步是常见错误
  • 工具与习惯分担工作：硬件与模拟阻止机器能阻止的事，但只有你的反射能抓住针对判断力的攻击。完美工具配上粗心习惯同样会输
  • 有些层能防止，有些仅能检测，而两者都需要。模拟能防止错误签名，但批准监控只是告诉你某事已泄露。明白各自能做什么能设定合理预期
  • 在需要时先有应急计划：在实时被盗时，分钟决定你能保留多少，这是即兴时最糟糕的时刻。事先决定你会撤销什么、把资金转到哪儿，本身就是一层防御 :::

:::details{badge=Advanced title="你的事件响应计划：如果你被攻击该怎么办"} :::p{html} 如果你怀疑你的钱包被入侵，从一次惊吓变成全部损失的区别常常在于你行动的速度和冷静程度。详细步骤——包括像专用接收钱包以及为什么在旧地址上撤销有时会适得其反的细节——见 3.3 §8。这里是值得事先决定的简短清单，因为事发当下是最糟糕的思考时刻：

  • 别恐慌，评估范围：哪些地址实际受影响？别假设全部受影响，也别假设只有一个。
  • 撤销批准并转移资金到新地址——顺序与细节（何时在旧地址上撤销会适得其反）见 3.3 §8。
  • 检查关联地址：若一个密钥泄露，与之派生或并用的其他密钥也可能暴露。
  • 大额情况请寻求专家（Chainalysis、SlowMist）——在资金仍在流动时有时可以追踪并请求交易所冻结。
:::

:::p{html} 速度决定一切。因为账本是公开的，快速反应有时可以在下游冻结资金——但前提是你在轨迹热的时候行动。所以计划的真正价值不在于步骤本身，而在于你在事件发生前就决定了它们。把计划放在你能不用主机也能拿到的地方。 ::: :::

:::further{label="延伸阅读"}

:::quiz{id=q-4-1-s7 label="检测自己" correct=3 explanation="正确。硬件钱包把你的密钥隔离在网络之外，但如果你被诱导去批准一笔恶意交易，它也会照常签名。因此它是堆栈中的一层——需配合模拟、书签、撤销和怀疑精神一起使用——而不是完整的防御。"} 为什么单独一个硬件钱包不足以保障你的安全？

  • 硬件钱包通过制造商固件更新可能遭受远程攻击
  • 每个硬件钱包只支持一个区块链，其它链需要额外设备
  • 购买与维护硬件钱包的成本对大多数用户来说超过了收益
  • 它保护你的密钥，但不能阻止你亲自签署恶意交易 :::