事件概述
2025年2月21日UTC时间下午02:16:11，Bybit的以太坊冷钱包（0x1db92e2eebc8e0c075a02bea49a2935bcd2dfcf4[1]）因恶意合约升级遭到资金盗取。根据Bybit CEO Ben Zhou的声明[2]，攻击者通过钓鱼攻击诱骗冷钱包签名者错误签署恶意交易。他提到，该交易被伪装为合法操作：Safe{Wallet}界面显示为正常交易，但实际发送至Ledger设备的数据已被篡改为恶意内容。攻击者成功获取三个有效签名，将Safe多签钱包的实现合约替换为恶意合约，从而盗取资金。此次漏洞导致约14.6亿美元的损失，成为Web3.0历史上最大规模的安全事件。
攻击交易记录
升级Safe钱包实现合约至恶意合约：
https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882
从Bybit冷钱包转移资金的多笔交易：
-
401,346 ETH[3]
-
15,000 cmETH[4]
-
8,000 mETH[5]
-
90,375 stETH[6]
-
90 USDT[7]
主要地址
-
Bybit多签冷钱包（受害者）[8]
-
攻击者初次攻击操作地址[9]
-
恶意实现合约[10]
-
Safe "delegate call" 过程中使用的攻击合约[11]
攻击流程
-
攻击者在攻击的三天前（2025年2月18日，UTC时间）之前部署了两个恶意合约。
-
这些合约包含了资金转移的后门功能[12]
-
以及用于修改存储槽的代码，以实现合约升级[13]
-
-
攻击者在2025年2月21日诱使三个多重签名钱包的所有者（签名者）签署恶意交易，从而将Safe的实现合约升级为之前部署的含有后门的恶意合约[14]：https://etherscan.io/tx/0x46deef0f52e3a983b67abf4714448a41dd7ffd6d32d32da69d62081c68ad7882
-
攻击交易中的“operation”字段值为“1”，指示GnosisSafe合约执行“delegatecall”，而“0”表示“Call”。
-
该交易执行了委托调用到攻击者部署的另一个合
