视频来源:Crypto Casey 频道《New Wave of AI Hacks Stealing BILLIONS in Crypto — Protect Your Crypto NOW (2026 Ultimate Guide!)》,约 13.0 分钟,2025 年 12 月上旬发布(开头即引用「上周」的三起安全事件)。核查立场:Crypto Casey 是个人科普频道,本集带三个赞助(Tangem、GoBabyTrade、Uphold),赞助段落的事实与结论均单独标注、打折看待。视频的安全框架(零信任、分层防御)方向正确,但把它落到可执行层面时,有 4 处主张需要修正:防 SIM 劫射不一定要换 $99/月的专用运营商、Tangem EAL6+ 不等于没有短板、Gmail「扫描邮件」的说法已过期三年多、Bybit 15 亿美元的劫案过程被讲成了「Code 层」问题。逐条见第五、六节。
直接回答标题:2025 年确实有超过 34 亿美元的加密货币被窃(Chainalysis 口径),其中朝鲜国家背景黑客拿走约 20.2 亿美元,单是 Bybit 一案就是约 15 亿美元——史上最大一笔。但真正的教训不是「黑客变强了」,而是攻击点从合约代码转移到了人:克隆 3 秒音频就能冒充你家人、一封钓鱼邮件能让交易所签名员签下 15 亿美元的转账、冒充招聘方的假面试专门用来偷员工凭证。普通人能做的不是「更懂技术」,而是把六件低成本的事做完:专用加密邮箱、邮箱别名、Passkey 代替短信验证码、交易所提币白名单、运营商 port-out 锁、大额进冷钱包。这六层加起来大概一个下午,挡住的是 2025 年 76% 的损失来源。
⚡ 一、结论速览:四档评级
| 视频主张 | 核查结论 |
|---|---|
| 上周 Bybit 15 亿美元、Upbit 3,000 万美元、Yearn 900 万美元连续出事 | 【有证据·时间口径需修正】三案都真,但分别是 2025 年 2 月 21 日(Bybit 约 15 亿美元,史上最大)、2025 年 11 月 27 日(Upbit 约 3,000 万-3,700 万美元)、2025 年 11 月 30 日(Yearn yETH 池约 900 万美元)。视频发布于 2025 年 12 月,「上周」只对后两案成立,Bybit 是 9 个月前的旧案 |
| 黑客不再攻代码、改攻人,AI agent 是主因 | 【有证据】Chainalysis:2025 年 34 亿美元被盗,朝鲜约占 76%;基础设施与社工类失败占主导,纯合约漏洞占比小。FBI 2025 年 IC3 首次为 AI 单列一章:22,364 起 AI 相关投诉、约 8.93 亿美元损失 |
| 核心策略是「零信任」:假设手机被黑、邮箱公开、交易所会倒 | 【有证据】零信任(never trust, always verify)是业界标准安全模型;落到个人就是:短信码不当凭证、二维码不当身份、紧急来电不当指令 |
| 第一层:用一个从没用过的邮箱注册加密账户,别用日常邮箱 | 【有证据】撞库与密码复用的标准防御;Proton 等端到端加密邮箱零访问加密、瑞士司法辖区属实 |
| Gmail/Outlook/Yahoo 会扫描邮件内容、给用户建档卖钱 | 【部分支持】Gmail 已于 2017 年 6 月停止用邮件内容做广告个性化;但 Google 仍用搜索等其他服务的信号画像,微软/雅虎同理。结论(别把交易所账号绑日常邮箱)仍然成立,但理由要换成「撞库面」不是「偷看信」 |
| 第二层:用 hide-my-email 别名注册每家加密服务 | 【有证据】Proton Free/Plus 各 10 条别名额度属实;但 Proton Pass 2019 年即被 SimpleLogin 团队收购并整合,「SimpleLogin 生态」这点视频没提 |
| 第三层:Passkey 数学上不可钓鱼,以后不用密码 | 【部分支持】FIDO2/WebAuthn 凭证与域名绑定、钓鱼网站拿不到签名,这层属实;但「数学上不可钓鱼」只覆盖钓鱼这一种攻击——账户恢复流程、设备丢失、云同步密钥仍可能被绕过。Passkey 应作为主力、硬件安全 key 作为管理员兜底,不是替代一切 |
| 第四层:开交易所提币白名单,新地址 48 小时冷静期 | 【有证据】主流交易所均有提币地址簿/白名单 + 邮件/2FA 确认,冷静期多为 24 小时(Binance/Kraken/Bybit/OKX/Bitget 24 小时、Gemini 7 天、Coinbase 约 1 小时)。视频里「48 小时」是 Uphold 一家的口径,别当行业统一值 |
| 第五层:SIM 劫持能克隆 3 秒音频骗过运营商,唯一 100% 防住的办法是换 Efani($99/月、$500 万保险) | 【存疑】SIM 劫持与语音克隆都真(FBI/FTC 均有警告,澳洲 ACMA 2026 年 9 月刚因 Telstra 未做身份验证罚了 27.72 万澳元);但「唯一 100% 防护」是营销话术——运营商自带的 port-out 锁/PIN 一样能挡住大多数转网请求,且几乎免费。$99/月是赞助商方案不是唯一解 |
| 第六层:硬件钱包断网,私钥永远不出芯片 | 【有证据】冷存储确实是本金层最合理的默认;但视频引的 Tangem 卡片是赞助商,EAL6+ 只证明芯片评估等级,不覆盖无屏幕盲签、固件闭源、丢卡即全丢这三条真实短板 |
| 2026 年的旧安全打法已经过时,「强密码」等于用薯片锁门 | 【有证据】密码+短信 2FA 在 kit 化钓鱼与劫持面前确实失效;2025 年链上钓鱼损失约 4.1 亿美元、凭证类社工仍是主要入口 |
| 「银行向加密用户宣战,只能 unbankable 退出体系」 | 【与主流相悖】赞助段落的立场化表述。真实图景是机构化 + 监管框架落地(Clarity Act 等立法进程、主流机构托管入场),「彻底退出法币」对绝大多数人是生存级风险,不是安全建议 |
🧨 二、三起大案的真相:亏在哪一层
💥 1. Bybit 15 亿美元:不是合约被打穿,是人被 UI 骗
2025 年 2 月 21 日,Bybit 一个 3-of-3 多签冷钱包被转走约 401,000 枚 ETH 及 stETH(当时约 15 亿美元),是史上最大单笔加密货币失窃。过程与「代码漏洞」无关:攻击者(朝鲜 Lazarus,美国 FBI 代号 TraderTraitor)先攻破多签钱包界面 Safe{Wallet} 一名开发者的工作站,再把自己写的恶意 JavaScript 注入 Safe 的前端。Bybit 的签名员打开界面时看到的是例行内部转账,硬件钱包实际签到的却是一笔把钱包逻辑改成攻击者控制的恶意交易。三个合法签名、三道合法审批,15 亿美元一次转走。
这件事给普通人的结论只有一句:你屏幕上看到的东西不等于你签的东西——这正是硬件钱包要求「在设备屏幕上核对地址」的原因,也是第五层白名单冷静期的价值:攻击者拿到账号也提不走币,两天时间够你冻结账户。后续追踪显示,约 84-86% 赃款经 THORChain 换成 BTC 分期洗白,Bybit 事后全额赔付用户、无提款中断,并于 2026 年 8 月在美国起诉朝鲜政府与 Lazarus。
📉 2. Upbit 3,000 万美元:同一个日子,同一套洗钱手法
2025 年 11 月 27 日凌晨,韩国最大交易所 Upbit 的热钱包被异常提走约 540 亿韩元(约 3,000 万-3,700 万美元)的 Solana 系资产(SOL、USDC、BONK、JUP 等)。资金走的是 Lazarus 的标准化流水线:Jupiter/Raydium 秒换手 → 拆进 200 多个钱包 → Wormhole 跨链 → 混币式打散。韩国官方与 FBI 均指向朝鲜 Lazarus,调查倾向于管理员凭证被劫持或冒充——注意,Upbit 2019 年 11 月 27 日那笔 5,000 万美元 ETH 失窃也是同一批人、同一批手法。Upbit 当天暂停全部充提、承诺公司储备全额赔付,并冻结了约 820 万美元关联资产。
🧬 3. Yearn 900 万美元:审计过也会翻车,清算的是「旧合约」
2025 年 11 月 30 日,Yearn 的 yETH 加权稳定币池被抽走约 900 万美元。根因是一连串极端不平衡的 add_liquidity 把池内定点求解器推入发散区,内部乘积项 Π 塌到 0,随后一次未检查的减法下溢,攻击者用 16 wei 的存款铸出「无限多」的 yETH LP。值得记住的是:Yearn 的 v2/v3 金库(逾 4 亿美元存款)未受影响,出事的是 legacy 自定义池;协议方与 Plume、Dinero 协作追回约 857 pxETH(约 240 万美元)按比例返还存款人,另有约 300 万美元 ETH 流入 Tornado Cash。结论:「经过审计」不等于永生,尤其别把长期仓位放进非主流新池子。
🧩 三、六层零信任清单:哪些照抄、哪些打折
📧 第一层:专用加密邮箱(照抄,理由更新)
视频说用 ProtonMail 之类端到端加密邮箱单独收加密账户邮件——方向对,别用日常 Gmail。但要纠正它给的理由:「Gmail 扫描邮件卖广告」是 2017 年 6 月之前的旧事,Google 已停止用邮件内容做广告个性化(仍会为反垃圾、反钓鱼扫描邮件,并用其他产品数据画像)。真正该换邮箱的理由是撞库面:你的邮箱在无数小站点注册过,一次泄露就能让攻击者试出「哪个站用了同一个密码」。Proton 免费档即含端到端加密与零访问加密,15 分钟就能建好,这是全套清单里性价比最高的一步。
🎭 第二层:邮箱别名(照抄,注意额度)
给每个加密服务发一个不同的随机别名,泄露时只废一个、主邮箱不暴露。免费/Plus 档 Proton 有 10 条 hide-my-email 别名,超过要升 Unlimited。视频没提的是:这套能力来自 Proton 2019 年收购的 SimpleLogin,生态互通,官网自己也在用。这一层对「刚注册 Bitget/Bybit/Kraken 就被定向钓鱼」特别有效——你不知道骗子手上有没有你的主邮箱。
🔑 第三层:Passkey + 硬件 key 兜底(照抄,话术打折)
Passkey 是存在设备安全芯片里的密钥对,登录时用面容/指纹现场签名。钓鱼网站拿不到签名,因为凭证和域名绑定——这层是真的强,主流加密账户(Coinbase、Binance、Kraken、Proton)都支持。但「数学上不可钓鱼」把话说满了:账户恢复通道、设备丢失、云同步的密钥同样能被社工。合理姿势是普通账户全上 Passkey,持仓大的账户加一枚硬件安全 key 或 YubiKey 做兜底,短信验证码逐步退役。
🧯 第四层:交易所提币白名单(照抄,参数以自己用的所为准)
这是全套清单里最被低估的一项:开启后,提币只能去你预先批准的地址,新增地址有强制冷静期。行业实测(2025 年末口径):Binance、Kraken、Bybit、OKX、Bitget 均为约 24 小时,Gemini 7 天,Coinbase 约 1 小时(仅邮件确认)。视频里 Uphold 的「48 小时 + 多签审批」是其中一家的配置,不是统一值。用法:先在白名单加好你自己的硬件钱包地址,等冷静期过了再提,而不是临时抱佛脚。
📵 第五层:防 SIM 劫持(核心成立,处方打折)
SIM 劫持的思路没变:骗运营商把你的号码转到攻击者的 SIM,所有短信验证码(邮箱、银行、交易所)全部改投。升级的部分是语音克隆——FTC 与 FBI 均确认,3-30 秒的公开音频即可合成以假乱真的声音,冒充你打给运营商、家人、公司财务。2025 年 FBI IC3 首次单列 AI 章节:22,364 起投诉、约 8.93 亿美元损失,60 岁以上人群占约 3.52 亿美元。澳洲这边,ACMA 2026 年 9 月因 Telstra 在 15 起未授权 SIM 交换中未履行身份验证、对已知高风险客户未加保护,罚了 27.72 万澳元(客户合计损失至少 3.95 万澳元)——不是遥远的故事。
但视频开的处方(换 Efani、$99/月、11 层验证)是赞助商方案。真正应该先做的是:① 在你运营商 App 里打开 port-out 锁/账户锁并设独立转网 PIN(Telstra/Optus/Vodafone 都有,免费);② 把邮箱、银行、交易所的短信 2FA 换成 Passkey 或验证器 App;③ 手机突然「无服务」且周围人有信号,立刻用别的设备打运营商冻结。花一万年也不必先付那 $99。
🏦 第六层:大额进冷钱包(照抄,产品打折)
私钥不出芯片、不能远程改,这一层是整个体系的地基。视频主推的 Tangem 是赞助商,客观说它的优势与短板都很清楚:优势是 EAL6+ 安全元件(护照/银行卡同级)、无电池无接口、固件不可 OTA;短板是无屏幕=盲签(你看不到交易详情,地址替换类攻击的防线只剩你自己核对)、固件闭源、以及「丢光所有备份卡 = 币永久没了,厂商也救不了」。所以它更适合当「不折腾的第二把锁」,不适合当唯一持仓容器。想替代产品,OneKey、Ledger、Trezor 都在这站的对比里出现过,按「密钥能否导出、开源程度、备份机制」三条挑,别按返佣挑。
🧪 四、一个下午的执行清单(SOP)
- 📧 注册 Proton 免费邮箱,只用于加密账户,主邮箱彻底断联
- 🎭 为 Bitget / Bybit / Kraken(以及你用的每一家)各生成一条 hide-my-email 别名
- 🔑 每家交易所开 Passkey,关掉短信 2FA;能上硬件安全 key 的账户补一枚
- 🧯 打开提币白名单,把硬件钱包地址加进去,等 24 小时冷静期(期间该干嘛干嘛)
- 📵 运营商 App:开 port-out 锁/账户锁,设独立转网 PIN,存在密码管理器里;换卡攻击的完整链路与应急顺序见那条把手机号变成万能钥匙的换卡链路那篇
- 🏦 超过「丢了会睡不着」额度的币,从交易所挪进冷钱包;硬件钱包只在官网买,收货验封
- 🚨 家里立一条家规:任何「亲戚急事要钱」的电话,挂断、用通讯录里旧的号码回拨;任何「官方客服」来电,挂断、自己打开 App 找客服
- 🧪 全流程先用小额跑一遍,再动大额——这条对上面每一步都适用
❌ 五、危险主张红字标注
▸ 「$99/月换专用运营商是防 SIM 劫持的唯一 100% 办法」——错。运营商自带的 port-out 锁(免费)先挡住大多数转网,短信 2FA 退役才真正抽走号码的含金量。先做免费的,再考虑付费。
▸ 「Passkey 数学上不可钓鱼,所以可以只要 Passkey」——过头。Passkey 只解决「凭证被盗」,不解决恢复流程与设备丢失。高价值账户保留硬件安全 key 兜底。
▸ 「EAL6+ = 安全」——只对了一半。EAL 评的是芯片本身扛不扛侧信道/故障注入,不覆盖你盲签的每一笔交易。无屏幕卡片的结构性弱点在你自己身上。
▸ 「彻底退出银行体系(unbankable)是安全目标」——立场话术。那是赞助段落的叙事,不是风险建议。真实世界是合规化与机构化,普通人把「交易所余额当消费级、冷钱包当储蓄级」分开就够了。
▸ 「上周 Bybit/Upbit/Yearn」——时间错位。Bybit 是 2025 年 2 月,Upbit 与 Yearn 是 2025 年 11 月底。做引用时按原始时间线,别跟着视频的时间词走。
✅ 六、可采纳 / ❌ 不可自行采纳
- ✅ 单独加密邮箱 + 别名注册所有加密服务
- ✅ 全部账户开 Passkey,退役短信 2FA
- ✅ 交易所开提币白名单 + 冷静期,先加好自己的冷钱包地址
- ✅ 运营商 port-out 锁 + 独立转网 PIN
- ✅ 大额转冷钱包,小额留交易所;硬件官网买、收货验封
- ✅ 家人暗号 + 「挂断回拨」家规,这条零成本且专治 AI 克隆
- ❌ 不必为「唯一 100% 防护」付 $99/月,除非你已被精准盯上
- ❌ 不要把无屏幕卡片当唯一持仓容器,也不要在盲签的交易上按确认
- ❌ 不要因「银行宣战」退出全部法币通道——那是叙事,不是安全边际
❓ FAQ
Q:零信任是不是要多买设备、花很多钱?
不用。清单里唯一可能花钱的是硬件安全 key 与冷钱包;邮箱、别名、Passkey、port-out 锁全免费。先做免费六件,再考虑花钱三件。
Q:Passkey 换手机了怎么办?
主流平台(Apple/Google/Microsoft)会通过加密云同步把 Passkey 带到新设备,前提是旧账户还活着——所以邮箱别名和恢复邮箱也得同步管好,它们是所有 Passkey 的根。
Q:交易所白名单开了,提币变麻烦吗?
只麻烦一次:新地址 24 小时冷静期。一旦常用地址进名单,后续提币与不开时一样快。建议现在就加好自己的硬件钱包地址。
Q:AI 换脸视频验证(Call 里对方 live 露脸)还可靠吗?
不可靠。Arup 2,560 万美元的案例就是 live deepfake 视频会议让财务付款。验证只能靠「另一个你已持有的渠道回拨」,不能靠画面与声音。
Q:朝鲜到底偷了多少?
Chainalysis 口径:2025 年一年约 20.2 亿美元,历史累计约 67.5 亿美元;占 2025 年全球链上被盗(约 34 亿美元)的约 76%。这还没算大规模链下诈骗。
就在本清单发布一天后，这个行业判断就被实锤：Bitget 被盗 3.875 亿美元——黑客入侵后台系统伪造签名授权，私钥从头到尾没泄露，手法与本清单防的正是同一族。
📚 参考来源
- Chainalysis:2025 Crypto Theft Reaches $3.4B(朝鲜 20.2 亿美元、占约 76%、累计 67.5 亿美元、IT 员工渗透与假招聘)
- FBI IC3 2025 年度报告(首次单列 AI:22,364 起投诉、约 8.93 亿美元;60+ 人群约 3.52 亿美元)
- FTC:克隆声音只需几秒音频(3-30 秒口径、挂断回拨建议)
- ACMA 对 Telstra 的 27.72 万澳元处罚(15 起未授权 SIM 交换、身份验证未执行、客户损失至少 3.95 万澳元)
- Bybit 15 亿美元案:FBI IC3 PSA(TraderTraitor/Lazarus、Safe{Wallet} UI 注入)、Chainalysis 复盘(THORChain 洗钱路径与比例)
- Yearn 官方 yETH 事后分析(三阶段攻击、16 wei、857.49 pxETH 追回、v2/v3 未受影响)
- The Block:Yearn 900 万美元漏洞时间线(块高 23,914,086、1,000 ETH 进 Tornado)
- CoinDesk:Upbit 3,000 万美元失窃与 Lazarus 归因(540 亿韩元、全额赔付、与 2019 年同日同手法)
- FIDO Alliance:Passkeys 白皮书(与域名绑定、钓鱼抵抗的边界与恢复通道提醒)
- Proton 官方:地址与别名(Free/Plus 10 条 hide-my-email 别名、额度上限、SimpleLogin 整合)
- Google:Gmail 停止用邮件内容做广告个性化(2017-06)
- 交易所提币白名单冷静期口径:Kraken、Binance、Gemini(7 天地址冻结)
- Tangem 芯片与短板:Tangem 官网(EAL6+、Kudelski 2018/Riscure 2023 审计、固件不可更新;无屏幕盲签与全卡丢失不可恢复)
- Arup:深度伪造视频会议致 2,560 万美元损失
- 原视频:Crypto Casey,YouTube(2025 年 12 月)
免责声明:本文为公开视频内容的科普整理与事实核查,不构成投资建议(not financial advice);「$99/月」「唯一 100% 防护」等产品断言均标注了赞助立场与折扣依据,交易所安全功能(白名单冷静期、Passkey 支持)以各平台当期官方说明为准。加密资产波动极大,只用你能承受全部损失的钱参与。