2025 年 Hacken 安全報告揭露：Web3 領域損失逼近 40 億美元

根據知名區塊鏈安全機構 Hacken 發布的《2025 年 Web3 安全年度報告》，過去一年全球 Web3 生態系統因駭客攻擊、詐騙與合約漏洞等事件，總計造成近 40 億美元 的資產損失。這不僅創下歷史新高，也凸顯去中心化金融（DeFi）、跨鏈橋與 NFT 市場在快速發展背後所隱藏的安全隱憂。

損失規模與主要攻擊類型

報告指出，2024 年全年共記錄超過 320 起重大安全事件，總損失達 $3.92 億美元。其中，跨鏈橋（Cross-chain Bridges）與 DeFi 協議成為最大受害領域，合計佔總損失的 78%。

• 跨鏈橋攻擊：損失約 $16.5 億，佔比 42%
• DeFi 漏洞利用：損失約 $14.2 億，佔比 36%
• NFT 與遊戲詐騙：損失約 $5.3 億
• 私鑰與社交工程盜竊：損失約 $3.2 億

跨鏈橋：高風險的價值通道

跨鏈技術雖促進了多鏈生態的互操作性，卻也因其複雜架構與驗證機制缺陷，成為駭客首選目標。2024 年最嚴重的單一事件即為某主流跨鏈協議遭重入攻擊，導致 單次損失逾 7 億美元。

常見跨鏈橋漏洞類型

• 驗證節點被操控或串通
• 狀態同步延遲導致雙花攻擊
• 智能合約邏輯錯誤（如未正確驗證簽名）

防禦策略與產業趨勢

面對日益精準的攻擊手法，Web3 項目方與用戶皆需提升安全意識。Hacken 建議從以下三方面著手：

• 強制第三方安全審計：上線前至少由兩家獨立機構進行全面審計
• 實施時間鎖與多重簽署：關鍵資金操作應設置冷卻期與多重授權
• 建立漏洞賞金計畫：鼓勵白帽駭客主動回報潛在風險

此外，報告預測 2025 年將有更多項目採用「形式化驗證」（Formal Verification）技術，以數學方式證明合約邏輯無誤，大幅降低人為編碼錯誤風險。

用戶自保指南

除了項目方的責任，終端用戶亦須採取主動防護措施：

• 避免連接來源不明的 DApp 網站
• 使用硬體錢包儲存大額資產
• 定期檢查錢包權限，撤銷不必要的代幣授權
• 啟用雙因素認證（2FA）於中心化入口（如交易所）

值得注意的是，報告特別提醒：即便使用「已審計」的協議，也不代表絕對安全。審計僅反映特定時間點的程式碼狀態，後續升級若未重新審查，仍可能引入新漏洞。

常見問題解答

什麼是「重入攻擊」？為何對 DeFi 威脅極大？

重入攻擊是指惡意合約在原始交易尚未完成前，反覆呼叫目標合約的提領函數，從而盜取資金。2016 年 The DAO 事件即為經典案例，至今仍是 DeFi 最危險的漏洞之一。

如何查詢自己使用的 DApp 是否經過安全審計？

可至項目官網的「Security」或「Audits」頁面查看審計報告連結，或直接在 Hacken、CertiK、OpenZeppelin 等審計公司官網搜尋項目名稱。若完全找不到審計資訊，應高度警惕。

跨鏈橋真的不能用嗎？

並非完全不可用，但建議優先選擇 TVL（總鎖倉價值）高、運行超過一年且曾通過多次審計的主流跨鏈橋（如 LayerZero、Wormhole）。避免使用新興或匿名團隊開發的跨鏈方案。

如果我的錢包被盜，還有機會追回資產嗎？

由於區塊鏈交易不可逆，一般情況下難以追回。但若資金流入中心化交易所，可立即聯繫其客服並提供交易哈希，部分平台會凍結相關地址。同時應向當地執法單位報案並保留所有操作紀錄。

「形式化驗證」比傳統審計更可靠嗎？

形式化驗證透過數學模型驗證程式碼是否符合預期行為，能發現人工審計易忽略的邊界條件錯誤。但它成本高昂且耗時，通常用於核心金融合約。理想做法是「形式化驗證＋人工審計＋漏洞賞金」三重防護。