safe合約

ChainCatcher 消息，慢霧發文表示，2025 年 2 月 21 日， Bybit 的鏈上多簽錢包遭定向攻破，近 15 億美元資產通過一筆"合法簽名"的交易悄然流失。事後鏈上分析顯示，攻擊者通過精密的社會工程攻擊獲取了多簽權限，利用 Safe 合約的 delegatecall 功能植入惡意邏輯，最終繞過多重簽名驗證機制，將資金轉移至匿名地址。"多重簽名"不等於"絕對安全"，即便是 Safe 多簽錢包這樣的安全機制，如果缺乏額外的防護措施，仍然存在被攻破的風險。Bybit 使用的是 v1 .1.1 (<1.3.0) 版本的 Safe 合約，這意味著他們無法使用 Guard 機制這一關鍵安全特性。如果 Bybit 升級到 1.3.0 或更高版本的 Safe 合約，並實現了合適的 Guard 機制，例如指定唯一接收資金的白名單地址，並進行嚴格的合約函數 ACL 驗證，可能就能避免這次的損失。儘管這只是假設，但它為未來的資產安全管理提供了重要思路。

ChainCatcher 消息，慢霧餘弦在 X 平台發文稱，Safe 合約沒問題，問題在非合約部分，前端被篡改偽造達到欺騙效果。這個不是個案。朝鮮黑客去年就搞定過好幾家，如：WazirX 230M USDT Safe 多簽Radiant Capital 50M USDT Safe 多簽DMM 305M USDT Gonco 多簽這種攻擊手法工程化成熟。其他家也需要多注意，多簽可能不止 Safe 存在這類攻擊點。