超越私钥：钱包、L2 与供应链如何保障 Web3 的安全边界？

正文：

在刚刚过去的6月，加密领域遭遇了一系列广泛的安全事件。

根据 PeckShield 最新发布的月度安全报告，6月共发生了40起重大黑客攻击，总损失达到7587万美元。引人关注的是，这些攻击并未局限于某一特定路径，而是覆盖了钱包签名实现缺陷、L2协议漏洞以及第三方服务的供应链攻击，多个防线在同一时间相继失守。

当 Web3 的安全风险从单一入口扩展到整条链上交互路径时，用户不得不反思一个核心问题：我的加密资产是否依然安全？

6月发生在 Cardano 生态钱包 SecondFi 上的安全事件就是一个明显的案例。

SecondFi 原为 Cardano 生态钱包 Yoroi。6月21日至23日间，攻击者从部分 SecondFi 用户地址中转走约1600万枚 ADA，涉及约374个钱包，按事发时的价格计算，损失约为240万美元。SecondFi 随后表示，通过紧急措施保护了大约1.29亿枚可能受到影响的 ADA。

这起事件的特殊之处在于，受影响的用户并未主动向攻击者泄露助记词，问题出在钱包底层签名实现。根据安全机构 BlockSec 的分析，攻击者错误地从公开交易消息中推导签名 nonce，遗漏了安全标准中要求的秘密 nonce prefix。

因此，每当用户使用受影响版本的钱包进行交易签署时，链上发布的公开签名数据会暴露出足以推导出地址私钥的信息，攻击者无需入侵用户的手机或获取助记词，仅需分析链上公开数据即可恢复对应地址的签名私钥。

从用户角度来看，钱包似乎仍在正常使用，因为助记词没有通过弹窗泄露，密码也没有被破解，交易确实是由用户发起的；但从密码学的角度，只要用户地址通过受影响版本生成过有效签名，公开的交易与签名数据就可能帮助攻击者推导出该地址的签名私钥。

归根结底，钱包的安全性取决于私钥是否正确生成、签名是否严格遵循密码学标准，以及这些关键代码是否能够接受外部审查和验证，这也是核心钱包组件保持开源的重要原因。

当然，这只是特定钱包特定版本的实现缺陷，并非所有自托管钱包的普遍问题。以 imToken 的 TokenCore 为例，其核心代码仓库公开托管在 GitHub，涵盖密钥管理、地址派生及交易签名等底层钱包功能。

尽管开源并不意味着代码一定不存在漏洞，也并不代表用户可以完全放松警惕，但对于钱包中最敏感的密码学和签名组件而言，开源至少提供了一个重要前提，即安全研究人员、开发者和社区可以检查代码、重现问题并持续进行测试，而非仅仅依赖一个无法验证的黑盒。

对于普通用户而言，这类事件也对应着几条更为切实的安全原则。

因为将同一组助记词导入其他钱包后，已暴露的地址和私钥不会改变。受影响的资产需转移至一个从未通过漏洞版本签名的新地址；对于普通用户来说，更稳妥的做法是按照官方应急流程重新创建一组全新的钱包和助记词，再完成资产迁移，而不是反复导入或操作原有地址。

除了钱包，6月的多起事件还将风险扩展至日益复杂的 L2 系统。

在6月14日和18日，与 Aztec 相关的旧版 Rollup 部署先后遭到攻击，合计损失约435万美元。

需要特别指出的是，遭到攻击的是已经进入遗留状态的 Aztec Connect 等旧版部署，并不代表当前 Aztec Network 主网本身受到攻击，但这两起事件暴露的问题，对整个 ZK Rollup 领域具有警示意义。

在其中一起事件中，攻击者利用交易数量与实际处理数据之间的不一致，导致系统内部记录了一笔存款，却绕过了 L1 上对应的余额扣减流程。

另一起事件则源于零知识证明电路中的约束缺失，系统验证了一份形式上有效的证明，却未能确保该证明使用的私有状态树与以太坊上真正用于结算的公开状态根完全一致，攻击者因此可以围绕伪造的状态树生成证明，并从 L1 合约中提取资产。

这类问题很难用传统的「合约是否存在某一行漏洞代码」来概括。毕竟零知识证明可以证明某个计算过程符合既定规则，但前提是规则本身要正确而完整；如果开发者忽视了某个关键变量的约束，证明仍可能在数学上有效，却证明了一个与真实结算状态不一致的结果。

随后发生的 Taiko 安全事件则揭示了另一种 L2 信任链风险。

6月22日，Taiko 基于 SGX 的证明验证流程遭到利用，造成约170万美元的损失。根据 BlockSec 的分析，攻击者使用了一把曾被提交至公开 GitHub 仓库的 SGX enclave 签名私钥，并利用链上验证合约未拒绝 DEBUG 模式 Enclave 的缺陷，将恶意证明者注册为合法实例。

攻击者随后伪造 L2 状态证明，使以太坊上的合约接受了一项并不存在的 L2 状态，最终从桥接资金中提取资产。根本原因在于用于签署可信执行环境的密钥被公开，同时远程认证规则未能完整检查运行环境属性，导致一份「通过认证」的证明失去了应有的可信性。

与此同时，Base 在6月25日至26日间出现了主网区块生产停滞。事后复盘中，Base 表示两次中断源于同一个区块构建逻辑缺陷：一笔执行失败的交易未能正确清理之前记录的状态，导致后续交易错误计算 Gas，并生成了包含无效状态转换的区块。由于其他节点无法接受该区块，网络最终停止推进。Base 表示，事故期间链的完整性未受破坏，用户资金始终安全。

这并不是一起资产盗窃或外部攻击，而是一次影响网络可用性和恢复能力的技术故障。但从更广义的安全角度来看，可用性本身也是 L2 安全模型的一部分。

因为对用户而言，一条链的安全性不仅取决于黑客能否伪造资产，还取决于区块能否持续生产、跨链桥是否正常工作、节点能否快速恢复，以及在系统故障时，用户是否仍有可行的退出路径。

因此，在使用 L2 时，用户也不应只关注手续费和空投预期。对于规模较小、刚上线或安全机制仍在快速变化的 L2，建议尽量避免长期存放超出实际使用需求的大额资产；跨链前应确认使用的是官方桥，并了解提款时间、暂停机制和紧急退出方式；在遇到网络停止出块、跨链异常或官方发布安全预警时，避免反复提交交易或继续桥接资产。

更为稳妥的做法是将不同用途和不同风险级别的资产进行分散管理，而不是将全部流动性押注在同一条 L2、同一个跨链桥或同一种退出机制上。

如果说钱包和 L2 的问题仍发生在较为底层的技术组件中，那么 Polymarket 的事件则表明，距离用户最近的网页前端同样可能成为资金的入口。

6月25日，Polymarket 宣布，其使用的一家第三方供应商遭到入侵，攻击者借此向部分用户访问的 Polymarket 前端注入了恶意脚本。

根据安全机构及链上分析人员的统计，此事件导致约300万美元的用户资产损失，涉及约11个钱包。被盗资金随后从 Polygon 跨链至以太坊，并被兑换为约1893枚 ETH，不过 Polymarket 后续表示已移除受影响的依赖，并将向受影响用户全额退款。