加密货币交易所 바이비트(Bybit)于 21 日深夜惊传遭黑客入侵价值总价值近 14.7 亿美元的 이더리움(ETH)、stETH、cmETH 和 mETH，成为近年来损失金额最大的加密货币盗窃事件。
週六，区块链安全公司 슬로우 미스트 (SlowMist)创办人余弦根据针对多签钱包的攻击手法，将幕后凶手指向在币圈恶名昭彰的北韩黑客组织 Lazarus Group，并且手法与去年 와지르엑스(WazirX)、래디언트 캐피탈(Radiant Capital)和 DMM 的被黑事件类似。
바이비트(Bybit)的 Safe 多签钱包被北韩黑客入侵
余弦对于此次事件的攻击手法攻分析道：
黑客先在 2 月 19 日部署恶意合约，并在 2 月 21 日利用 바이비트(Bybit) Safe 多签冷钱包的三个 owner 签署，将 Safe 合约替换成恶意合约，并使恶意合约篡改 Safe 逻辑，最终调用恶意合约中的后门函数窃走 바이비트(Bybit)多签冷钱包的资金。
而冷钱包团队 OneKey 则补充，黑客提前三天部署好了恶意后门合约，大概率已经确认了 바이비트(Bybit)的三位多签的电脑已被入侵，具备攻击条件。接下来在多签工作人员执行日常转账之类的签章操作时，取代了签章内容。
工作人员在网页看着以为是转账之类的正常的交易 —— 殊不知被改成了「把 Safe 合约升级替换为此前部署的恶意合约」的交易。于是，惨剧便发生了。
延伸阅读：바이비트(Bybit)内部出包？安全专家：北韩黑客 Lazarus 疑似入侵交易所员工电脑取得钱包多签权限
Safe：将暂时移除与 Ledger的整合
由于 바이비트(Bybit)是使用 Safe 多签钱包，再加上好几个 Ledger冷钱包进行手动签署，而且这种多签方法也是以太坊共同创办人 V 神 Vitalik 先前所力荐的最安全加密资产保管方式，但最终 바이비트(Bybit)还是被盗了，这也让加密社群开始质疑多签钱包的安全性，包括 Safe 在内的多签钱包协议也因此感到相当紧张。
在事件爆发后，Safe 团队火速表示正与 바이비트(Bybit)团队合作调查并停止某些功能以确保安全。바이비트(Bybit)反应，冷钱包 UI显示正确的交易讯息，但在链上执行了具有所有有效签名的恶意交易。然而，Safe 初步调查显示，没有发现任何证据表明 Safe 钱包前端本身受到了损害。
Safe 今（24）日稍早发推宣布，将在接下来 24 小时内开始分阶段恢复服务，恢复后的 Safe 钱包将包含额外的安全措施：
- 对交易哈希值（Hash）、资料和签章进行额外验证
- 增强监控警报
- 暂时删除了本机 Ledger整合，因为这是针对 바이비트(Bybit)攻击中使用的签章设备/方法
一旦恢复，由于运行额外的检查，用户可能会遇到稍长的交易时间或效能问题。
像往常一样，请在签署交易时保持警惕，验证是否签署了正确的交易资料。
四大疑点仍待釐清
不过 바이비트(Bybit)这次事件中，最让社群和资安专家感到疑惑的点是，黑客是如何取得 바이비트(Bybit)多签钱包的三个签名？슬로우 미스트 (SlowMist)团队也在初步调查后表示目前仍有几个疑点仍待官方调查釐清：
1. 例行 이더리움(ETH)转账
- 攻击者可能事先获取了 바이비트(Bybit)内部财务团队的操作信息，掌握了 이더리움(ETH)多签冷钱包转账的时间点？
- 透过 Safe 系统，诱导签署者在伪造界面上签署恶意交易？ Safe 的前端系统是不是被攻破并接手了？
2. Safe 合约 UI 被篡改
- 签署者在 Safe 界面上看到的是正确的位址和 URL，但实际签署的交易资料已被篡改？
- 关键问题在于：是谁最先发起签章请求？其设备安全性如何？
专家：Ledger应在交易界面上加入与电脑软体的交易验证对照功能
对于这起近年来最大的加密黑客攻击案件，一位匿名专家向动区分享了他的分析与看法：
Ledger冷钱包屏幕会在交易的时候显示请求，但现在主要都显示交易的程式码，这大部分人都看不懂。
我们通常是以交易在冷钱包上的显示时机与电脑上请求交易的时机一致来判断（即我在电脑上按了交易，冷钱包随后就跳出要求确认的讯息，我就以为是同一笔）
没有办法从冷钱包屏幕上确认是否与网页或者客户端确认是同一笔交易，这让黑客有了攻击机会
黑客可能是在相关电脑植入了木马，并在侦测到 바이비트(Bybit) 要转移大量金额时，在类似的时间传送了相似的交易出去，这让 바이비트(Bybit) 以为这就是他在电脑上请求的那笔交易，并在冷钱包上按了确认，才造成憾事。
未来 Ledger 应该在交易界面上加入与电脑软件的交易验证对照功能。
需注意的是，上述观点仍是专家就目前线索的推测分析，具体情况和真相仍待 바이비트(Bybit) 与 Safe 提供更进一步的调查报告。
