加密安全失败暴露了人类技术缺陷的弱点

2025 年 4 月的十三天内，人为错误（而非代码漏洞）引发了三起重大加密安全漏洞。这些事件总共造成了数亿美元的损失。每个案例都涉及对人的操纵，而不是对区块链系统的利用。分析师表示，这种模式揭示了该行业尚未解决的结构性弱点。数字资产安全的约束不再是加密的，而是人的。 2025 年 4 月 1 日，为期六个月的渗透活动导致 Drift 损失 2.85 亿美元。攻击者冒充业务合作伙伴，在多个国家举行面对面会议，并存入 100 万美元以建立信誉。调查人员将此次行动归咎于朝鲜国家支持的组织 UNC4736。该组织还与 2025 年 2 月价值 15 亿美元的 Bybit 黑客攻击有关。Chainaanalysis 报告称，朝鲜仅在 2025 年就窃取了 20.2 亿美元的加密货币。这一数字同比增长 51%，是通过减少 74% 的攻击来实现的。效率的提高来自于更精细的欺骗，而不是改进的技术工具。正如研究员 Shanaka Anslem Perera 指出的那样，朝鲜在 2023 年不再尝试破解密码数学。相反，他们开始招募坐在旁边的人。十三天内发生三起加密安全故障。都是人类。没有技术含量。没有人将它们连接起来。 4 月 1 日：Drift 损失 2.85 亿美元。不是智能合约漏洞。朝鲜为期六个月的社会工程活动。假身份、多个人的面对面会议… https://t.co/rv8dqtxDqo pic.twitter.com/DtIeVTrP0i — Shanaka Anslem Perera ⚡ (@shanaka86) 2026 年 4 月 13 日 CrowdStrike 记录了 2024 年的 304 起朝鲜个人渗透事件。这些活动仍在加速进行到 2025 年。Kraken 抓住了一名朝鲜特工申请2025 年 5 月的一份内部工作。公司故意允许面试继续进行，以研究所使用的策略。这一决定为了解这些业务的内部结构提供了罕见的情报。 4 月 11 日，音乐家 G. Love（合法名称为 Garrett Dutton）购买了一台新的 MacBook Neo，并在 Apple 的 App Store 上搜索了 Ledger Live。他下载了一个已通过自动扫描和人工审核的克隆版本。一个虚假的错误屏幕提示他输入 24 个单词的助记词。几分钟之内，价值约 424,000 美元的 5.92 个比特币就消失了。 ZachXBT 追踪到了九笔交易到 KuCoin 存款地址。 KuCoin 于 2025 年 2 月失去了欧盟 MiCA 许可证，引发了对该行业监管漏洞的进一步担忧。该应用程序绕过了多层平台安全性，没有利用任何技术缺陷。它完全依赖于令人信服的界面和置于人为压力下的用户。助记词一旦输入，攻击者就获得了完全且不可逆转的访问权限。这种类型的攻击不需要复杂的代码。它只需要一个可信的副本和一瞬间的用户信任。苹果应用商店的审查流程被广泛认为是严格的，但不足以抓住这一点。 4 月 13 日，Kraken 首席安全官透露，两名支持人员已被犯罪集团招募。大约有 2,000 个客户帐户被访问，占用户总数的 0.02%。没有资金被盗，也没有系统在技术上遭到破坏。犯罪分子录制了内部支持小组的视频。他们现在利用该录像进行敲诈勒索。 Kraken拒绝付款。该访问权限不是通过零日漏洞获取的，而是通过暗网职位列表获取的。 Checkpoint Research 和 ZeroFox 记录了 2025 年底此类访问的现行价格。Coinbase、Binance、Kraken 或 Gemini 的凭证或面板访问价格为 3,000 至 15,000 美元，以加密货币支付。该价格点低于旧金山一个月的租金。加密行业花费了十五年时间和数千亿美元来构建技术完善的基础设施。 SHA-256 保持不变。椭圆曲线签名保持不变。然而在十三天之内，人类接入点就绕过了这一切。相比之下，该行业的技术系统越强化，人工旁路的成本就越低。