撰文：陀螺财经
黑客年年有，今年也不缺。从加密货币伊始，针对其的网络攻击就相伴而生，并随着技术的不断成熟演化为更复杂的攻击手法、更精巧的攻击逻辑以及更具迷惑性的技术手段，但有时，不得不承认，再严密的防控，都抵不住人性的弱点。就在最近，Web3 明星社交项目 UXLINK 就中了招。
凌晨被盗、合约增发、代币暴跌，短短不到半天，UXLINK 就经历了有史以来最崩溃的时刻，甚至还上演了「黑吃黑」的名场面。
加密项目的安全，似乎终究是一笔糊涂账。
与其他项目有所不同，对于 UXLINK，圈外的用户或许并不陌生。UXLINK 是基于 Telegram 构建的一款社交类项目，与此前泛式社交的模式不同，UXLINK 主打的是「熟人社交」，可通过 Telegram、WhatsApp、TikTok 和 EOA 钱包等一键登录，并提供深度社交场景和代币激励来留存用户以驱动增长，强调社群驱动的群组功能及资产发行。
从技术与流量获取来看，UXLINK 无疑是站在了巨人的肩膀上，堪称东家的 Telegram 不仅在技术与组件上提供支持，在流量获取也给予了倾斜，从入门到图形形成、群组工具到社交化交易都无缝集成在 Telegram 中。
也正源于此，自 2023 年 4 月上线以来，UXLINK 表现就相当优异。在资金侧获得了 OKX Ventures、Matrixport Ventures、SevenX Ventures、HashKey Capital、Animoca Brands 等加密原生资本的青睐，应用方向也比普通社交 DAPP 提前完成冷启动。到 2024 年 4 月，UXLINK 已经有 530 万注册用户，构建了近 9 万多个群聊，截至到 2025 年 8 月，官网发布的数据显示，UXLINK 注册用户已达到 5400 万，日活钱包突破了 2400 万，凭借庞大的规模用户一跃升为 Web3 社交的头部平台。
在资产方面，UXLINK 采了双代币模型，分别为依托 UXUY 的原生实用代币以及以治理为核心的 UXLINK 代币，前者主要用于社区与生态发展，用户可通过邀请或其他社区活动获取 UXUY，后者则强调治理功能，总供应量为 10 亿枚，其中 65%分配给社区，40%分配为用户，开发者和合作伙伴获取 25%。去年 4 月，UXLINK 开启了首期空投活动，用户可凭借空投凭证 NFT 领取空投，超过 140 万张 NFT 得以铸造，15%的用户获取了空投。但值得注意的是，代币表现仅能用差强人意来形容，去年 7 月 18 日 UXLINK 上线交易所后从 0.0998 美元最高飙升至 3.85 美元，但随后持续下滑，在本次事件发生前稳定在 0.32-0.35 美元左右。
尽管代币表现不佳，但从一众社交项目来看，UXLINK 的运营还是持续在线，不仅在战略上推出社交增长链、入局 PayFi，后续更是开启质押、空投活动以获取用户注意力，在生态构建上表现也相当亮眼，超过 500 家业内项目与其达成合作，市场从日韩向北美不断拓展。简而言之，在社交项目中，UXLINK 声量持续在线，可称之为其中的佼佼者。
建设项目很难，但要毁掉一个项目，只需要一次被盗。
9 月 23 日 00:43 分，安全公司 Cyvers 发布预警，称其系统检测到涉及 UXLINK 的可疑交易，规模达到 1130 万美元。原因出自项目内部，由于私钥泄露，一名攻击者在 9 月 22 日 22:53 对 UXLINK 多签钱包执行了 delegateCall 操作，将原有的多签管理员删除，并将自己设为了项目唯一控制人。随后，这一地址调用 addOwnerWithThreshold，转出 USDT 400 万、USDC 50 万、WBTC 3.7、ETH 25 以及约 300 万枚 UXLINK 被转出并部分跨链桥接至主网。
消息传出仅仅 5 分钟，市场反应强烈，UXLINK 现货从 0.3 美元左右迅速下挫跌破 0.18 美元，并有持续下跌趋势。1 小时后，UXLINK 官方承认受到攻击，9 小时后，UXLINK 发推表示正与内部和外部安全专家全天候合作，以查明根本原因并控制事态发展。已联系主要的 CEX 和 DEX，紧急冻结可疑的 UXLINK 存款，并于后续表示大部分被盗资产已被冻结，强调尚无迹象表明个人用户钱包受到攻击。
按照普通流程来看，承认被盗、紧急公关、开始灾后重建基本已然为事件划下休止符，但黑客，显然不这么想。23 日晨 9 点 54 分，最具毁灭性的步骤开启，攻击地址凭借手握的管理大权，未经允许使用合约铸造功能，增发了 10 亿枚 UXLINK 代币。货币系统维持稳定的关键在于币值的稳定，而币值稳定的首要条件就在于控制货币流通量，而大量增发，无疑让整个生态系统濒临崩溃。UXLINK 跌跌不休，最低价格一度接近归零，链上市值最低触及 80 美元，而在事件前，UXLINK 的市值是 1.5 亿美元，现有 CEX 数据来看，市值也仅恢复到 6500 万美元。
更可恶的是，在增发后，黑客继续在各大交易所进行抛售，通过不同的钱包将增发的 UXLINK 进行兑换，累积获得 6732 枚 ETH，获利达到 2810 万美元。值得一提的是，在此期间，部分用户遵循经验主义在 UXLINK 发布公告后进行抄底操作，但由于黑客的增发行径，致使亏损进一步扩大，甚至有一地址豪掷 90 万美元，最终接近归零。
事情到此处，似乎又有了终结的意味，但戏剧化的一幕再次发生。盗取 UXLINK 资产的黑客遭遇「黑吃黑」，由于授权给了钓鱼团队的地址，遭到 Inferno Drainer 钓鱼攻击。经核实，其非法获取的约 5.42 亿枚$UXLINK 代币已被「授权钓鱼」手法窃取。辛辛苦苦盗取，还不忘给他人做嫁衣，只能说意想不到。
根据最新进展，UXLINK 启动了代币合约迁移计划，新的 UXLINK 智能合约成功通过安全审计，合约将部署在以太坊主网上，并取消了铸造销毁功能，将通过跨链合作伙伴服务保持其跨链功能。新的 UXLINK 智能合约已准备就绪，合约地址为 0x3991B07b2951a4300Da8c76e7d2c7eddE861Fef3，持有合法流通的 UXLINK 代币的 CEX 及链上用户将获得 1:1 兑换，被认定为非法发行的代币将不具备兑换资格。部分仍在交易的代币，团队将为受影响的用户提供单独的补偿计划。
从本次事件来看，项目方的响应速度相当迅速，不仅迅速稳定用户情绪，也在第一时间给出了解决方案，应急管理方向表现仍然值得表扬。但话又说回来，本次攻击的本质就在于多签管理的欠缺，虽然采用了 Safe 多签机制并配置了多个多签账户，但实际管理却极为缺位，多签形同虚设，才由此引发危机。
值得注意的是，增发这项手段，在近日也非常频发。与 UXLINK 同样的手法，同一时段 Web3 项目孵化与启动平台 Seedify.fund 也被盗并增发了 3 秭，代币 SFUND 受到重创，价格从 0.42 美元跌至 0.08 美元，现稳定在 0.27 美元处。
而就在今日，欧洲 Web3 项目 Griffin AI 在刚刚结束币安 Alpha 空投的 12 小时后，遭到黑客攻击恶意增发 50 亿枚代币 GAIN，使其代币从 0.163 美元一度跌去 95%接近归零。据官方披露，攻击地址通过引入未经授权的 LayerZero Peer 发起攻击，部署伪造的以太坊合约绕过官方合约，再将伪造的代币由 LayerZero 跨链实现 BNB Chain 的链上增发。而黑客 GAIN 则将异常增发地址砸盘获利的 2955 枚 BNB (约合 300 万美元) 通过跨链桥 deBridge 兑换成 720.81 枚 ETH 后，全部转移进 Tornado Cash 进行混币。截至到目前，GriffinAI 已移除 BNB 链上 GAIN 的官方流动性池，并正式要求所有 CEX 暂停 GAIN (BSC) 代币的交易、存款和提现功能。但需要提醒的是，对于被盗者的安置余赔偿，项目方并未提出解决方案。
唯一值得庆幸的是，与 UXLINK 和 SFUND 不同的是，部分 GAIN 的抄底者成功收获了不错的回报，有地址以均价 0.00625 美元抄底买入 2.02 万美元的 GAIN，一小时浮盈 10.7 万美元。
整体来看，相比于此前的一次性攻击行为，如今的攻击方式开始聚焦于合约权限与代币发行控制上，虽然同为攻击手段，但后者显然要恶劣得多。对于项目而言，代币恶意增发摧毁的是整个以代币为中心的生态系统，将极大地降低用户对项目的信任度，并由此引发一系列连锁反应。一个典型的例子是，随着增发事件频发，市场上已然响起了项目方通过多签自导自演声音。
从安全方面来看，多签的管理也值得重视，如今项目方智能合约普遍采用多签制，但管理也应同步跟上，首要应做到强制配合硬件钱包，实现物理隔离，其次应尽可能将签名方分散化，从时空上、硬件上、备份上尽可能规避集中化风险。除了技术硬方向的规避，软环境也至关重要，多签持有者应做到身份隐藏，并构建交叉验证流程，有效进行二次核对，构筑人工防线。此外，演练也必不可少，保持忧患意识，定期演练并做好危机预案，毕竟在业内，假演练分分钟就可变成真实战。
慢雾创始人余弦也给项目方提出了建议，多签所有者应该匹配仅支持复杂签名且大屏幕的硬件钱包，囊括从助记词生成到使用的全过程，并兼配 Passphrase 或 SSS 备份以提高安全性。在日常使用中，更应该提高警惕，对签名要求高度谨慎，减少可能的风险。
