加密貨幣審計可能帶來錯誤的安全感，第三季駭客攻擊造成 11.8 億美元損失

前言

安全審計常被視為加密貨幣專案已採取措施保護使用者和資產的證明。但審計的價值取決於檢查了哪些項目、完成時間距今多久，以及發現的弱點是否已獲得處理。區塊鏈安全公司 Hacken 的報告警告，投資人可能會把範圍有限的審查誤當成整個平台安全無虞的保證。Hacken 記錄第三季 107 起事件造成 11.8 億美元的加密貨幣損失，比前一季增加 55%。其中許多損失涉及遭入侵的供應商和開發工具、尚未安裝的安全修補程式，或被排除在審計範圍之外的元件。調查結果凸顯一個核心疑慮：單靠審計標章，無法證明所有處理資金的系統都經過測試或仍然安全。

懶人包

Hacken 的報告統計，第三季 107 起事件共造成 11.8 億美元損失，比前一季增加 55%。其中約 9.068 億美元與遭入侵的供應商或開發工具、尚未安裝的安全修補程式，或未納入最近一次審查的元件有關。該公司指出，審計可能漏掉錢包、簽署系統和第三方軟體等重要領域。重大案例包括 Bitget 損失至少 3.52 億美元，以及一場影響三個跨鏈橋和跨鏈協議的漏洞攻擊，在六小時內造成超過 3,500 萬美元損失。投資人和使用者應將審計結果視為有限的證據，而不是全面的安全保證。

正文

加密貨幣安全審計旨在於攻擊者利用漏洞之前，找出程式碼和系統中的弱點。然而，審計不一定會全面檢查與專案相關的每項服務、依賴項、作業流程或存取控制機制。Hacken 最新的調查結果，提醒人們注意「專案做過審計」與「整個專案的安全環境都經過檢查」之間的差別。

Hacken 週四發布的報告指出，駭客在第三季透過 107 起事件竊取了 11.8 億美元。這個金額比前一季高出 55%。其中 9.068 億美元歸因於遭入侵的供應商或開發工具、已公開但尚未安裝的安全修補程式，或最近一次安全審查未涵蓋的元件。這些數據顯示，損失不僅可能來自專案自身程式碼的缺陷，也可能源於其所依賴的更廣泛系統和服務的弱點。

Hacken 共同創辦人暨董事會董事 Andrii Matiukhin 接受 CoinDesk 訪問時，指出審計範圍一直是個難題。他表示，檢查每個會接觸資金或影響專案經濟效益的元件，成本可能很高。因此，團隊可能縮小審計範圍，只聚焦於服務中選定的關鍵部分。從成本和時間的角度來看，這種做法或許可以理解，但也可能導致其他重要元件沒有受到同等程度的檢視。

當使用者將審計標章解讀為整個平台都已接受檢查的證明時，問題就格外重要。實際上，審計可能只涵蓋指定的智慧合約，或應用程式中明確界定的一部分。錢包、簽署系統、第三方產品、基礎設施和作業設定可能都不在審查範圍內。如果攻擊者鎖定其中某個被排除的環節，審計標章對防範這類攻擊可能幫助不大。

Matiukhin 表示，客戶可能看到新推出的專案有審計標章，就以為整個系統都經過審查，最後卻因從未測試過的金鑰、供應商或設定而蒙受損失。對評估安全聲明的投資人來說，這項區別十分重要。審查說明的是在特定時間內，依照所述範圍執行了哪些工作；它不會自動證明每個連接的元件都安全，也無法保證專案在後續變更後仍然安全。

報告指出，該期間最大的事件是加密貨幣交易所 Bitget 於 9 月遭受攻擊。根據 Hacken 的報告，攻擊者利用第三方安全產品中的漏洞，取得其提款基礎設施的存取權限，導致交易所損失至少 3.52 億美元。此案例說明，服務供應商或安全工具可能成為進入掌控資金流動系統的途徑，也凸顯只審查交易所自身的應用程式程式碼，可能無法發現外部產品帶來的風險。

其他案例則顯示，問題不只發生在交易所。硬體錢包製造商 Ledger 表示，該公司在 CryptoBilis（一家東南亞經銷商）販售的一台裝置中，發現未經授權的硬體「間諜」植入物。由此造成的損失約為 9,300 萬美元。這起事件指出，硬體供應和配送環節也可能帶來風險，而只針對軟體程式碼進行的審計，未必涵蓋這些領域。

Hacken 也指出，7 月一場持續六小時的漏洞攻擊，造成三個加密貨幣跨鏈橋和跨鏈協議損失超過 3,500 萬美元。攻擊者控制 AFX Trade 的驗證者金鑰後，該平台損失 2,400 萬美元。報告還列出 Liquid Network 損失 3.19 億美元、Tectonic 至少損失 7,500 萬美元，以及 Coldcard 錢包軟體約損失 1.14 億美元。這些事件據報有不同的起因，但合在一起顯示，涉及金鑰、基礎設施和連接系統的弱點可能造成重大後果。

報告也檢視了 12 家衍生品交易所和預測市場的安全安排。Hacken 發現，兩家主要平台超過 7 億美元的安全資產，依賴一種需要三個簽章的四金鑰簽署機制，或依賴持有人未公開身分的管理金鑰。該公司在報告發布前沒有透露平台名稱，也未提供詳細評估。Matiukhin 表示，Hacken 沒有發現存在正在遭利用的漏洞，但認為考量到涉及的金額，部分安排並不充分。

他強調，疑慮並非指受檢平台系統中存在已知且正在運作的漏洞。Hacken 發現的是一些金鑰管理配置，認為以平台規模而言，安全性不足。這項區別很重要：安全疑慮不一定代表已經發生攻擊，但可能表示現有防護措施與受保護資產的價值或營運重要性不相稱。

Hacken 也提到處理已知漏洞的延誤。如果多個區塊鏈依賴相同軟體，卻在不同時間套用更新，延誤可能帶來特別嚴重的後果。Matiukhin 表示，團隊有時會將重大漏洞列為低優先級，導致修補程式延後安裝，甚至不予採用。在快速變化的技術環境中，即使修補程式已公開，只要受影響的系統沒有及時安裝，風險就不會因此消失。

報告將責任歸於持有客戶資金的公司。這些公司需要追蹤漏洞、了解哪些系統和供應商受到影響，並及時安裝安全修補程式。數月或數年前完成的審計，無法取代持續的安全維護，尤其是軟體、依賴項、人員和作業流程會隨時間改變。

對使用者和投資人而言，實際的啟示是不要只看有沒有審計標章。值得詢問的問題包括：檢查了哪些元件、審查何時進行、哪些部分被排除、是否考量第三方依賴項，以及專案如何處理審計後發現的漏洞。這些答案不能保證事件不會發生，但能幫助釐清審計能、也不能證明什麼。安全是一個持續進行的過程，而非一次性的認證。

重點資訊表