本文由BlockWeeks編譯整理
本週一份研究簡報聚焦三件事：Bitget 3.875億美元被盜事件的復盤、SEC關於代幣回購的常見問題解答（FAQ），以及白宮AI峰會的要點。
一、Lazarus再出手：Bitget 3.875億美元被盜復盤
上週，Bitget披露攻擊者通過一系列未經授權的轉帳，從其熱錢包和溫錢包（warm wallets）中盜走3.875億美元，並一度暫停所有提現。損失橫跨11條區塊鏈，包括 Ethereum、XRP、TRON、Arbitrum、Base 和 BSC，其中單鏈損失最大的是 XRP，約8300萬美元。
按照 Bitget CEO Gracy Chen 的說法，私鑰和冷錢包並未被攻破——這一說法也被被攻擊地址中仍留存的數億美元代幣所印證。攻擊者真正利用的是兩款第三方安全產品（藉助一個零日漏洞獲取高級內部憑證），向錢包後台植入偽造的提現指令，並在資金轉出後刪除這些指令。Bitget 聘請的安全公司 SlowMist 將最早的惡意活動追溯到8月31日，並還原出一個圍繞 Bitget 提現邏輯搭建的定制提現工具。整體指向一場經過高度研究、針對性極強的錢包管理攻擊。
Bitget 依據 IP 行為和鏈上分析，將攻擊歸因於朝鮮行為體；鏈上追蹤公司 Elliptic 和 TRM 發現相關錢包與過往黑客事件存在重疊。被盜資金大部分經由 THORChain 轉移，而 THORChain 以「去中心化、無需許可」為由拒絕了 Chen 提出的停止服務請求。NEAR Intents 則採取相反做法，攔截了超過5000萬美元的洗錢流量，並在執行過程中凍結約50.3萬美元。Bitget 的保護基金及適用的儲備證明（PoR）超額抵押覆蓋了本次損失，全部損失由保護基金承擔，該基金已補足至3億美元。
緊接著在週四，NEAR Intents 自身也遭遇攻擊：其 Omni 充值/提現基礎設施中的一個漏洞造成約380萬美元損失，官方表示將全額賠付。ZachXBT 標記出 BSC 熱錢包的多筆異常資金外流，資金被轉入 KuCoin 並進一步跨鏈至比特幣。
二、私鑰已被「解決」，真正的靶子是審批管道
如果這起事件聽起來耳熟，那是因為2025年2月朝鮮黑客組織 Lazarus 曾以同樣方式從 Bybit 盜走15億美元——他們並未竊取 Bybit 的私鑰，而是攻破了 Safe{Wallet} 的基礎設施，向簽名者展示被篡改的界面，簽名者隨後批准了一筆看起來例行的轉帳。密碼學本身完全正常，它只是忠實地簽署了被要求簽署的內容。
這正是當下大型攻擊的圖景：沒有人去攻擊私鑰數學，因為這套數學（目前）無法被攻破；他們攻擊的是「告訴這套數學該做什麼」的人或系統。大型加密交易所的私鑰安全處於全球頂尖水平，一家大型交易所上一次出現私鑰被攻破已是多年前的事。Phemex 在2025年1月遭遇的私鑰攻擊損失僅約5000萬美元，Coincheck 在2018年那起超5億美元的大案早已是「上古時代」。私鑰安全基本已被解決，因此對攻擊者而言，最有價值的目標不是密鑰本身，而是決定「把什麼送到密鑰面前」的環節。Bitget 至今未披露被利用的供應商名稱，取證報告僅以 “Product A” 和 “Product B” 代稱。
被盜形態本身也說明了問題：如果攻擊者拿到了私鑰，他們會把資金一掃而空；但 Bitget 的首次通報僅描述了來自有限數量熱錢包的未授權轉帳。緩慢流失，是「中間服務被攻破」而非「私鑰被攻破」的指紋。
Nick Szabo 早在2001年就寫下《可信第三方是安全漏洞》。這個行業每年都在付出約九位數的代價重新學習這一課：密碼學數學是安全的，需要加固的是它周圍的結構。今年夏天，AI 行業也學到了類似的一課。
三、SEC 回購 FAQ：功能型系統與「無中心方」的邊界
SEC 發布的 FAQ 就代幣回購給出了更細化的解釋。在「投資合同」問題上，推廣某個加密系統當前的實用性、或不附加盈利暗示地宣傳其未來願景，很可能不構成 Howey 測試下的「關鍵管理努力」承諾；一旦系統已經運行，為保障、維護、改進或增強它，或為促進網絡效應所提供的服務，也不構成關鍵管理努力。
最受關注的是回購部分。FAQ 的 Q2.5 詢問：發行方宣布針對非證券類加密資產的回購計劃（無論是出於資金管理、減少供應、協議資助的銷毀還是再平衡），本身是否構成一種「關鍵管理努力」的承諾——而這正是代幣銷售可能落入 Howey 投資合同的路徑之一。工作人員的回答是：當加密系統已經運行且不存在中心方時，此類公告不構成那種承諾。
值得注意的是，「且不存在中心方」這一表述是在2026年9月28日才被加入的——即 FAQ 發布三天之後，此前業界批評原措辭（僅要求「已運行」）過於寬泛。若系統尚未運行，只要發行方把回購包裝成給代幣持有者帶來收益或回報，該公告仍可能構成這類承諾。不過 FAQ 並未說明在「已運行但存在中心方」的系統中，回購公告應如何處理——由於答案已不再覆蓋該情形，它很可能回落到一般的事實與情形 Howey 分析。
