北韓駭客橫行、金鑰管理不善：Hacken 報告揭露 Web3 資產損失主因

Web3 的黑暗面：2025 年駭客事件頻傳，損失逼近 40 億美元

2025 年，Web3 世界並不好過。根據 Hacken 最新發布的年度安全報告，Web3 領域的資產損失總額高達近 40 億美元（約新台幣 1200 億元），相較於 2024 年增加了約 11 億美元。更令人擔憂的是，其中超過一半的損失都與北韓駭客集團有關。

這份報告指出，2025 年第一季的損失最為慘重，超過 20 億美元。雖然第四季損失已降至約 3.5 億美元，但 Hacken 警告說，這種模式顯示 Web3 系統存在根本性的營運風險，而不僅僅是零星的程式碼錯誤。

Hacken 認為，2025 年不僅損失金額增加，更重要的是，事件背後的故事也逐漸浮出水面。雖然智慧合約漏洞確實是個問題，但造成最大、最難以挽回的損失，往往來自於薄弱的金鑰、被入侵的簽名者，以及草率的離職流程。

金鑰管理不善成最大漏洞：54% 的損失源於存取控制失效

根據 Hacken 的報告，存取控制失效和更廣泛的營運安全漏洞，導致的損失約為 21.2 億美元，佔 2025 年總損失的近 54%。相比之下，智慧合約漏洞造成的損失約為 5.12 億美元。這數據清楚顯示，Web3 安全問題的重點已經轉移。

其中，Bybit 交易所遭受的駭客攻擊，損失高達近 15 億美元，被描述為有史以來最大的單一盜竊事件，也是北韓駭客集團佔總盜竊資金約 52% 的主要原因。這起事件凸顯了 Web3 領域在安全防護上有多麼脆弱。

監管壓力與日俱增：將安全指南轉化為硬性規定

Hacken Extractor 的法務主管 Yehor Rudystia 告訴 Cointelegraph，美國、歐盟和其他主要司法管轄區的監管機構，正逐漸將「良好」的安全措施明確地寫在紙上，例如基於角色的存取控制、日誌記錄、安全的入職和身分驗證、機構級託管（硬體安全模型、多方計算或多重簽名、冷儲存），以及持續的監控和異常檢測。這些都將成為 Web3 公司必須遵守的規範。

然而，Rudystia 表示：「由於監管要求僅成為強制性原則，許多 Web3 公司在整個 2025 年仍然遵循不安全的做法。」他指出，許多公司沒有在開發人員離職時撤銷其存取權限，使用單一私鑰來管理協議，也沒有部署端點檢測和響應系統。這些疏忽都為駭客入侵創造了機會。

Rudystia 強調，定期滲透測試、事件模擬、託管控制審查，以及獨立的財務和控制審計，都至關重要。他補充說，大型交易所和託管機構應將這些視為 2026 年的非談判條件。

社工攻擊成本高昂：保護自己免受釣魚詐騙

除了技術漏洞外，社交工程攻擊也對 Web3 領域造成了巨大損失。駭客往往會利用人性弱點，通過釣魚詐騙、假冒身分等手段，騙取使用者的私鑰或存取權限。因此，Web3 使用者必須提高警惕，加強防範社交工程攻擊的意識。

Hacken 預計，隨著監管機構從指導方針轉向硬性要求，Web3 安全的門檻將會進一步提高。Hacken 的聯合創始人兼 CEO Yevheniia Broshevan 告訴 Cointelegraph：「我們看到業界有很大的機會提高其安全基準，特別是在採用清晰的協議來使用專用簽名硬體和實施必要的監控工具方面。」

他預計，隨著監管要求和「應強制執行的最安全標準」的實施，整體安全性將在 2026 年有所提高，從而保護使用者的資金安全。

北韓駭客威脅日益嚴重：監管機構應採取更積極的措施

鑑於北韓駭客集團造成的損失約佔 Hacken 歸因的所有損失的一半，Rudystia 認為，監管機構和執法部門也需要將該國的行動策略視為一個特殊的監管問題。他認為，當局應強制實時分享關於北韓指標的威脅情報，要求針對釣魚式存取攻擊進行具體的風險評估，並將其與「對不合規行為的逐步處罰」以及對完全參與並維持針對北韓的防禦的平台的安全港保護相結合。

結論：Web3 安全需要多方共同努力

Hacken 的報告清楚地表明，Web3 安全是一個複雜且不斷演變的挑戰。要解決這個問題，需要監管機構、Web3 公司和使用者共同努力。監管機構需要制定更明確、更嚴格的安全標準；Web3 公司需要加強安全防護，提高安全意識；使用者則需要提高警惕，保護自己的私鑰和資產安全。

只有這樣，我們才能共同打造一個更安全、更可靠的 Web3 世界。各位軟體、影片、專案和區塊鏈愛好者，以及智慧型手機使用者，千萬要小心！