20260108-厦门慢雾科技-2025区块链安全与反洗钱年度报告_110页_7mb

报告摘要

区块链安全与反洗钱年度报告总结

核心内容

2025年，区块链行业在安全和反洗钱领域面临严峻挑战。黑客组织和地下网络犯罪活动呈现更强的组织化和专业化特征，攻击方式更加复杂和隐蔽。同时，各国监管机构加快了对加密资产的反洗钱（AML）和反恐融资（CFT）框架的实施，加强了链上追踪、情报协作与资产冻结的能力。本报告聚焦2025年的关键安全事件、攻击趋势、反洗钱动态及监管进展，旨在为行业从业者和安全研究人员提供参考。

主要观点

安全事件数量下降但损失上升：2025年共发生200起安全事件，损失约29.35亿美元，相比2024年的410起事件和20.13亿美元损失，事件数量下降，但损失金额上升约46%。
DeFi仍是主要攻击目标：DeFi项目共发生126起安全事件，损失约6.49亿美元，占全年总损失的约22%。
交易平台损失显著：尽管仅发生12起事件，但损失高达18.09亿美元，其中Bybit单次事件损失约14.6亿美元。
攻击手法更加隐蔽和复杂：钓鱼攻击、社会工程、恶意浏览器扩展、供应链投毒和AI技术被广泛用于提升攻击效率和欺骗性。
监管逐步精细化：各国监管机构开始区分技术属性与犯罪用途，加强跨境执法行动，提高资产冻结和归还效率。

关键信息

一、安全事件概览

按生态分布：
- Ethereum 是最主要受攻击生态，损失约2.54亿美元；
- BSC 次之，损失约2193万美元；
- Solana 位列第三，损失约1745万美元。
按项目类型：
- DeFi项目是最常遭攻击的领域，共发生126起事件，损失约6.49亿美元；
- 交易平台事件仅12起，但损失高达18.09亿美元，其中Bybit损失最大。
按攻击原因：
- 合约漏洞是主要诱因，共61起；
- X账号被黑紧随其后，共48起。

二、年度损失Top 10攻击事件

Bybit：损失约14.6亿美元，攻击者通过控制Safe多签钱包实施精准攻击。
Cetus Protocol：损失约2.3亿美元，攻击者利用Cork机制漏洞进行资金转移。
Balancer V2：损失约1.21亿美元，攻击者利用Stable Pool的精度误差进行资产提取。
Nobitex：损失约1亿美元，攻击者将资金转入销毁地址并宣称与以色列组织有关。
Phemex：损失约7,000万美元，疑似由朝鲜黑客组织实施，部分资金流入混币服务。
UPCX：损失约7,000万美元，攻击者通过控制ProxyAdmin合约实施资金转移。
BtcTurk：损失约5,400万美元，资金集中流向两个地址，攻击者将资金兑换为ETH。
Infini：损失约5,000万美元，攻击者通过权限操作和链上消息诱导用户归还资金。
CoinDCX：损失约4,420万美元，攻击者通过恶意软件获取内部系统权限。
GMX：损失约4,200万美元，攻击者利用Keeper系统特性进行重入攻击。

三、欺诈手法

钓鱼攻击：
- 从简单仿站发展为结合系统命令、钱包权限、协议特性和设备控制的复合手法；
- 用户被诱导执行恶意命令，下载恶意软件，窃取敏感信息；
- 防钓鱼工具难以捕捉部分风险，用户需谨慎对待未知链接和签名操作。
社会工程攻击：
- 以招聘、技术面试、安全专家等名义诱导用户执行高风险操作；
- 攻击者利用用户对“开源”“测试任务”等的信任，实施数据窃取和权限滥用；
- 通过伪造“官方安全升级通知”诱骗用户迁移助记词至恶意设备。
供应链与开源生态投毒：
- 攻击者通过篡改开源项目或开发者工具，植入恶意代码；
- 恶意依赖包在运行后窃取私钥和敏感信息；
- 某些NPM包被投毒，通过正常版本发布流程扩散至下游项目。
恶意浏览器扩展：
- 浏览器扩展具备高权限和自动更新特性，被篡改后可能窃取用户数据或私钥；
- 某些扩展通过动态网络请求规则替换下载链接，诱导用户安装恶意程序；
- Urban VPN Proxy等扩展默认采集用户在AI平台的对话数据，影响超过800万用户。
利用AI技术的攻击：
- 生成式AI被用于制作高度拟真的音视频内容，降低诈骗成本；
- 深度伪造（Deepfake）攻击通过模拟真实人物进行诈骗，使受害者难以识别风险；
- AI技术提高了攻击的针对性和欺骗性，使传统安全措施失效。

总结

2025年区块链安全和反洗钱形势持续恶化，攻击手法更加复杂和隐蔽，同时监管力度也在加大。行业需要提升对新型攻击方式的识别能力，加强用户教育和安全防护措施。在技术层面，需对智能合约、浏览器扩展和开源生态进行深入审查，防止恶意代码和依赖包的渗透。在合规层面，需密切关注各国监管政策，确保符合AML/CFT要求。通过多维度的防护策略，提升对风险的预判和响应能力，是保障区块链资产安全的关键。

展开完整摘要