2025年9月8日,加密货币领域再次迎来了引发广泛关注的重大安全事件。瑞士数字资产财富管理平台SwissBorg因其合作的Solana质押基础设施Kiln被攻破,损失了192,600枚SOL代币,折合约4100万美元。这场攻击的细节揭示了区块链质押账户权限管理中的隐蔽漏洞及其可能带来的灾难性后果。Solana网络的质押机制本具备权威灵活转移的功能,使用户能够在不同验证者之间调整质押关系,但也正是这种灵活性被攻击者巧妙利用,造成了大范围资金失控。此次事件以一笔看似普通的"解质押"交易为突破口,隐藏八个指令暗中将多个质押账户的提取权限转移至攻击者控制地址。自此,攻击者获得了账户的链上控制权,绕过了Kiln提供的API权限检测和转账白名单限制。
八天后,攻击者集中在3分钟内通过八笔交易将所有质押资金套现至其钱包,快速完成了史无前例的资金劫取。事件暴露了多个安全盲点。首先,Kiln的API主要聚焦于转账目标地址及金额的校验,却忽略了对权限变更指令的监控。此外,"盲签"现象也大大增加风险,用户或系统在未解码交易详情的情况下盲目批准,从而错失发现异常操作的机会。有人猜测这是否是内部员工作恶或软件被篡改,但目前无确凿证据支持该说法。SwissBorg迅速冻结了Solana Earn产品,承诺为受影响用户提供赔偿。
而Kiln方面也确认API遭受入侵,立即关闭相关服务,甚至选择退出部分其他区块链验证业务。财务损失虽可控,但对双方声誉造成巨大打击,客户信任严重动摇。通过对此次攻击的技术分析可见,仅依赖传统交易策略和白名单过滤难以抵挡攻击者的不断创新。攻击者并非简单直接转走资金,而是先悄无声息地夺取账户控制权,随后迅速完成资金提取,这种先控后劫的模板此前亦在Bybit交易所被模仿。人力手动监管速度远远落后于区块链上迅捷无比的交易节奏,唯有自动化防御技术才能在关键时刻生效。例如Circuit公司主导的自动资产提取技术(Automatic Asset Extraction,简称AAE)即致力于在检测到异常时,自动迅速将资产转移至安全钱包,最大程度减少损失。
此次事件也凸显出多方合作中安全责任边界的复杂。SwissBorg作为终端财富管理平台,出于运营效率将部分节点管理和质押操作托付给专业的Kiln,专业化分工固然带来便捷,却也增加了生态系统整体的攻击面。任何一环被攻破,都可能导致整个链条崩盘,用户的资金安全变得悬于一线。对区块链自我主权和灵活性的追求必须与安全管控机制同步升级,否则明明功能强大却被骗子轻松利用的技术仅是灾难的导火索。从更宽广的区块链安全视角看,此案警示业界重视多层权限校验与行为分析,推动智能合约和链上操作透明性提升,避免信息盲区催生安全黑洞。区块链开发者和平台运营者应强化对底层交互交易的动态监测,结合机器学习等先进算法识别异常授权及非典型资金流动模式,构建实时响应的安全防护体系。
用户层面,强调安全教育,杜绝盲目签署未经充分审查的交易,也至关重要。加密货币市场一直以来都面临从技术缺陷到社会工程攻击的复合挑战。今年以来,影响数亿美元的黑客事件频发,伴随着DeFi生态不断壮大,安全攻防成为行业健康发展的核心命题。SwissBorg/Kiln事件将被视为深刻教材,推动行业更加注重权限管理的细节及自动化防御能力的构建。总结来说,SwissBorg质押生态发生的4100万美元攻击事件提醒所有参与者,区块链的自主权虽珍贵,但无法取代精细化、多维度的安全控制。仅凭交易金额的白名单过滤不足以保障账户安全,权限变更操作的隐蔽性与复杂性必须得到更严密监控。
人类安全人员速度有限,依赖自动化防御技术如自动资产提取成为应对未来复杂攻击必不可少的手段。未来区块链平台应不断审视其权限结构和操作流程,完善智能安全策略,避免让表面看似普通的操作成为攻击者的利器。技术创新与安全保障齐头并进,是保障用户资产安全和行业可持续发展的根本。 。
