概览

2025 年 4 月，Web3 安全事件总损失约 2,640 万美元。其中，据慢雾区块链被黑档案库 (https://hacked.slowmist.io) 统计，共发生 18 起被黑事件，导致损失约 2,111 万美元，有 1,789 万美元得到冻结或返还，事件原因涉及合约漏洞、社会工程、内部作恶和私钥泄露等。此外，据 Web3 反诈骗平台 Scam Sniffer 统计，本月有 7,565 名钓鱼事件受害者，损失规模达 529 万美元。

(https://dune.com/scam-sniffer/april-2025-scam-sniffer-scam-report)

安全大事件

(https://x.com/SlowMist_Team/status/1911991384254402737)

Loopscale

2025 年 4 月 26 日，基于 Solana 构建的模块化 DeFi 借贷市场 Loopscale 遭攻击，导致约 570 万枚 USDC 和 1,200 枚 SOL 被盗，约占平台总资金的 12%。本次攻击的根本原因已确认，系 Loopscale 针对 RateX-based collateral 定价机制存在孤立性问题。4 月 29 日，据 Loopscale 官方推特称，经过成功谈判，4 月 26 日被盗的 5,726,725 枚 USDC 及 1,211 枚 SOL 已全部归还，用户存款未受损失。

(https://x.com/LoopscaleLabs/status/1917212052029931624)

ZKsync

据 ZKsync 发布的事故分析报告 (https://zksync.mirror.xyz/W5vPDZqEqf2NuwQ5x7SyFnIxqqpE1szAFD69iaaBFnI)，4 月 13 日，一个被攻破的管理员账户铸造了用于 ZKsync 2024 年 6 月 17 日空投的 ZK 代币 Merkle 分发合约中尚未认领的剩余代币。攻击者成功控制了 111,881,122 枚 ZK 代币（当时市值约为 500 万美元）。本次事件仅限于 2024 年 6 月 ZK 空投中三个特定的 ZK 代币 Merkle 分发合约，问题源于其管理员密钥被攻破。4 月 23 日，在 ZKsync 安全委员会提出“安全港”协议后，攻击者归还了全部资金，事件得以解决。

(https://x.com/TheZKNation/status/1915110305790660939)

2025 年 4 月 16 日，R0AR 遭攻击，损失约 78 万美元。据慢雾安全团队分析，此次攻击的根本原因在于合约中存在后门。在部署过程中，R0ARStaking 合约通过直接修改存储槽，篡改了指定地址的余额 (user.amount)。随后，攻击者利用紧急提现函数将合约中的全部资金提取走。R0AR 的创始人兼首席执行官 Dustin 在 AMA 中说明了事件经过。他详细解释称，涉事开发者在质押合约中植入了恶意代码，从而能够执行紧急提取操作，导致流动性池被抽空，约 490 枚 ETH 价值的代币被盗。据链上反洗钱与追踪工具 MistTrack 分析，被盗资金已被转入 Tornado。

(https://x.com/SlowMist_Team/status/1912417097269014825)

特征分析及安全建议

本月有 3 起被黑事件的被盗资金得以全部收回，可以看到，在不幸发生安全事件后，链上追踪与谈判依然是最为关键的应对手段之一。若能在短时间内开展有效的链上沟通，往往能够更高效地挽回损失。此前我们发布了慢雾：被盗急救指南之链上留言和慢雾：被盗急救指南之链上留言 —— BTC 篇，感兴趣的读者可点击查看。

另一方面，随着大模型的迅猛发展，各种新的 AI 工具也在不断涌现，当下代表性的 MCP (Model Context Protocol) 标准实现的工具正逐渐成为连接大语言模型 (LLM) 与外部工具、数据源之间的关键桥梁。然而，MCP 的快速普及也带来了新的安全挑战。本月，慢雾安全团队发布了一系列 MCP 安全专题文章，建议相关项目团队参照进行自查和风险加固，提前做好防御准备。

• MCP 安全检查清单：AI ⼯具⽣态系统安全指南

• 恶意 MCP 解析：MCP 体系中的隐蔽投毒与操控

• 慢雾：钱包安全审计新增 MCP 钱包安全审计项

AI 在区块链的广泛应用，也引发了新的潜在风险。2024 年，慢雾 (SlowMist) 披露了历史上第一个由于 AI 投毒导致资产被盗的真实案例，说明利用 AI 进行攻击已经不再是纸上谈兵。未来，类似的攻击形式可能会不断演化。此外，在区块链这片黑暗森林中，除了要具备防范 AI 作恶的能力，还要有验证是否是 AI 作恶的能力。这不仅是外部攻击防御的延伸，也关乎对内部行为和潜在风险源的辨识与控制。

最后，本文收录的事件为本月主要安全事件，更多区块链安全事件可在慢雾区块链被黑档案库 (https://hacked.slowmist.io/) 查看，点击阅读原文可直接跳转。