CertiK 2025 Web3安全年度盘点：供应链攻击与AI钓鱼成最大威胁

根据全球知名安全公司CertiK发布的《2025 Skynet Hack3D Web3安全报告》数据显示，过去一年Web3领域的安全态势呈现出新的严峻特点。全年共发生630起安全事件，造成总计约33.5亿美元损失，较2024年同比大幅增长37%。值得注意的是，尽管事件数量减少了137起，但单次攻击的平均损失却飙升至532.2万美元，同比激增66.6%，表明攻击者正将火力集中投向高价值目标。

尽管市场环境回暖与监管路径逐渐清晰为行业发展注入了动力，但随之而来的系统性安全挑战[安全/渗透: https://yunpan.plus/f/31-1]并未缓解，甚至更加复杂化。

关键数据洞察

• 月度与季度损失分布：2月成为全年损失最严重的月份，58起事件造成约15.4亿美元损失，其中绝大部分源于Bybit事件。从季度看，第一季度损失最为惨重，200起攻击事件导致约16.7亿美元被盗；第二季度被盗金额环比显著下降约52%。
• 攻击手段的“价量分化”：
  • 供应链攻击成为造成损失最大的攻击方式。全年仅记录2起事件，却导致约14.5亿美元的巨额损失，占全年总额的近一半。
  • 钓鱼攻击是发生频次最高的攻击方式，248起事件造成约7.2亿美元损失，略高于代码漏洞攻击（240起）。
• 跨链风险：涉及多条链的漏洞在29起安全事件中，共造成了约4.6亿美元的损失。

深度威胁分析：供应链与AI的双重夹击

供应链攻击推高年度损失天花板
2025年，针对Web3生态中关键服务提供商和底层工具的供应链攻击，展现出“一击致命”的破坏力。以2月份的Bybit事件为例，攻击者并未直接攻击交易所核心系统，而是通过入侵第三方多签钱包服务商的开发者环境[运维/DevOps: https://yunpan.plus/f/33-1]，在签名流程中植入恶意代码，从而绕过多重审批机制，最终造成约14亿美元损失。

这标志着攻击策略的显著转变：攻击者正将资源集中投向生态中的“关键节点”。单一协议或应用的安全性再高，也可能因其依赖的第三方服务或工具被攻破而全面失守，供应链安全已成为整个行业不可忽视的底层风险。

钓鱼攻击高发，AI技术成为“威胁放大器”
网络钓鱼仍是2025年最常见的安全威胁。然而，在AI技术的加持下，其危害性和隐蔽性正急剧上升。攻击者利用AI可轻易生成高度仿真的钓鱼网站、钱包授权弹窗以及多语言诈骗脚本，并能结合链上数据与社交媒体信息进行“精准投送”。这使得传统依赖识别语法错误或固定模板的防御方式逐渐失效。

此外，大量面向个人用户的小额钓鱼和社交工程攻击并未被公开披露，因此报告中的7.2亿美元损失可能只是冰山一角。

行业趋势：安全正从“成本”转变为“基础设施”

面对持续升级的风险，全球监管框架也在逐步完善。美国在稳定币与资产透明度方面的立法探讨、欧盟MiCA框架的推进、以及新加坡与中国香港的监管沙盒实践，都在为Web3的规范化发展铺路。

随着合规机构资金持续入场，安全能力的定位正在发生根本性转变——从“事后补救的成本项”转向项目架构设计与运营[云原生/IaaS: https://yunpan.plus/f/47-1]中不可或缺的“基础设施”。无论对项目方还是用户而言，安全已不再是可选项，而是决定长期生存与竞争力的核心变量。

展望未来，AI驱动的仿冒攻击、日益复杂的供应链入侵以及针对个人的精细化社会工程学攻击将持续演变。只有将安全思维深度嵌入产品设计、开发流程和用户体验全周期的项目，才能在下一阶段的竞争中建立稳固的护城河。

报告提供了更详尽的数据分析、案例剖析与防御建议。