Humanity Protocol 遭駭 3600 萬美元：從智慧合約漏洞轉向「人」的攻擊來了

你可能會發現，最近加密貨幣圈不太平靜。

老實說，過去我們談資安，焦點都在智慧合約有沒有 Bug、鏈上程式寫得夠不夠嚴謹。但現在情況正在悄悄改變——駭客開始「不打程式，打人類」。

就在上個月，Humanity Protocol 被駭走了 3600 萬美元的代幣。這個金額不是最大規模的 DeFi 攻擊，但最讓人不安的是攻擊手法：他們不是攻破智慧合約，而是透過一名員工的筆電入侵系統。這意味著，區塊鏈安全的天秤，正在從「程式碼層面」往「人」這端傾斜。

一隻筆電引發的 3600 萬美元災難

故事的細節是這樣的：Humanity Protocol 在去年啟動主網時，團隊把好幾把「生產鑰匙」——包括管理員熱錢包金鑰和多鏈簽名授權——全部備份到一臺筆電上。

然後，這臺筆電被入侵了。

攻擊者寄了一封魚叉式網路釣魚郵件，假裝是韓國加密貨幣交易所 Bithumb 的代幣鎖定時間表更新通知。員工開啟附件後，木馬程式就這麼順著郵件溜進了公司內網。接下來發生的事，就是 3600 萬美元人間蒸發。

Quantstamp 區塊鏈資安公司事後分析指出，這波攻擊與北韓相關駭客組織有關。你沒看錯——現在連國家級駭客都在對加密貨幣公司玩「社工」這套。

駭客的獵物正在從「程式」轉向「人」

如果你有在追蹤這幾年的駭客攻擊趨勢，會發現一個驚人的轉向。

2024 年上半年，光是網路釣魚就造成了 5.08 億美元的損失。但到了 2025 年第二季度，錢包入侵成為最大攻擊向量，一口氣貢獻了 8.07 億美元的損失。什麼意思？簡單講：駭客越來越懶得花時間找智慧合約漏洞了——直接搞定一個員工，效能更高。

北韓相關駭客組織更是這波趨勢的領頭羊。光是 2024 年 4 月，他們就涉嫌盜走了 6.34 億美元中的 5.78 億。這不是科幻情節，這是正在發生的產業現實。

CertiK 的資料顯示，2025 年上半年加密貨幣被駭總金額雖然年減 46.8% 至 13.2 億美元，但這個數字有誤導性——因為 2025 年初的 Bybit 單一事件就貢獻了 14 億美元。去掉這個極端值，攻擊頻率其實沒有放緩，只是攻擊手法變了。

專案方現在該怎麼做？

Humanity Protocol 的創辦人 Terence Kwok 在受訪時說了一句很直接的話：他們未來會把資安重心從智慧合約審計，全面轉向「操作安全」。這不是口號，是教訓。

什麼是操作安全？說白了就是：

• 不要把所有鑰匙放在同一個籃子裡——生產環境的許可權不該存在個人裝置上
• 硬體錢包是基本配備——熱錢包的時代該過去了
• 員工資安培訓不是選項，是必須——魚叉式網路攻擊現在是常態
• 多簽機制不能只是「有」而已——要真的分散到不同人、不同裝置、不同地理位置

對於我們這種交易者和投資人來說，這些訊息意味著什麼？你在選擇專案的時候，除了看代幣經濟、白皮書技術敘述，現在還要多看一樣：團隊的資安紀律到底是認真的，還是隻是花錢請審計公司寫個報告了事？

這波趨勢會持續多久？

老實說，短期內不會停下來。

當智慧合約越來越難駭——因為審計公司越來越專業、 Formal Verification 技術越來越成熟——攻擊者當然會選擇成本更低、成功率更高的路徑。搞定一個人，比搞定一條鏈簡單太多了。

而且別忘了，AI 工具正在讓魚叉式網路攻擊變得更便宜、更精準。假的 LinkedIn 訊息、假的交易所通知、假的團隊成員來信——未來只會更多，不會更少。

身為交易者，你能做的是：

• 分散持倉——不要把所有資產放在同一個鏈或同一個專案
• 關注專案的安全性公告——如果一個專案從來不談資安紀律，警惕
• 使用硬體錢包——別讓自己的資產暴露在軟體錢包的風險中

FAQ 常見問題

Humanity Protocol 被駭是什麼原因？

主要原因是員工的筆電被魚叉式網路攻擊入侵，導致生產環境的金鑰外洩。攻擊者透過偽裝成 Bithumb 更新通知的郵件，植入木馬程式取得了系統存取許可權。

這次攻擊與北韓駭客有關嗎？

根據區塊鏈資安公司 Quantstamp 的調查，攻擊手法與北韓相關駭客組織高度相似，包括使用遠端存取木馬和偽裝的魚叉式網路郵件。

加密貨幣被駭的趨勢有改變嗎？

有的。過去駭客主要攻擊智慧合約漏洞，但現在越來越多攻擊轉向「人」的層面——包括網路釣魚郵件、錢包入侵和社交工程攻擊。2025 年第二季度，錢包入侵成為最大攻擊向量。

操作安全是什麼？

操作安全指的是保護組織的敏感資訊和系統免受人為因素影響的實踐，包括金鑰管理、員工培訓、存取控制和裝置安全等。在區塊鏈領域，這意味著如何安全地管理私鑰和多重簽名機制。

投資人該如何自保？

使用硬體錢包存放大宗資產、分散持倉在不同鏈和專案、持續關注所投資專案的資安動態，以及避免在非必要情況下將資產留在交易所熱錢包中。

這年頭，保護好自己的資產，比追逐任何熱點都來得實際。市場會波動，專案會上線，但你的本金只有一條命。好好守住。