這年頭，連駭客都虧錢

作者： Chloe， ChainCatcher

2025 年 9 月，Web3 社交平台 UXLink 的多簽錢包慘遭洗劫，黑客在短短數小時內卷走逾千萬美元資產，並透過鑄造巨量代幣惡意砸盤，導致幣價瞬間閃崩超 70%。然而，這場災難最荒謬的並非攻擊本身，而是黑客事後的"業餘"表現。

與典型的洗幣套路不同，這名黑客並未急於銷聲匿跡，反而將盜取的 ETH 與穩定幣投入 DEX，在 CoW Swap 上頻繁交易。根據 Arkham 鏈上數據顯示，在短短半年內，該地址累積了近 625 筆交易，帳面虧損一度高達 480 萬美元。

還原這場攻擊的技術路徑，可以發現黑客異於常理的行為模式，以及它背後的殘酷現實：在這輪熊市周期面前，即便有高端技術可以盜取鏈上的錢，但一旦回到市場交易，人人都是公平的。

UXLink 多簽錢包安全漏洞，損失超千萬美元

區塊鏈安全公司 Cyvers 於 2025 年 9 月 22 日率先偵測到 UXLink 多重簽名錢包的異常異動並發出緊急警報。隨後 UXLink 官方證實，其核心多簽錢包遭到入侵，損失金額超過 1,130 萬美元。

這次攻擊的技術路徑相當清晰，黑客瞄準了多簽錢包的 delegateCall 函數漏洞，利用該漏洞成功篡改了合約邏輯，攻擊者先是移除錢包原有的合法管理員權限；接著在調用 addOwnerWithThreshold 函數，將自己強制植入成為新的錢包所有者。至此，UXLink 賴以生存的多簽安全機制被全面繞過，錢包控制權徹底易主。

隨之而來的是一場鏈上資產的瘋狂洗劫。被盜資產清單包含約 400 萬美元 USDT、50 萬美元 USDC、3.7 枚 WBTC、25 枚 ETH，以及價值約 300 萬美元的 UXLINK 原生代幣。與此同時，黑客在 Arbitrum 鏈上鑄造巨量 UXLINK 代幣砸向市場，代幣價格在短時間內暴跌超過 70%，從約 0.30 美元暴跌至 0.10 美元以下，市值蒸發逾 7,000 萬美元。

不走尋常路：放棄混幣出金，留在鏈上交易厮殺

按照加密犯罪的標準劇本，接下來的情節本該如此：黑客將資產匯入 Tornado Cash 進行匿名化，透過無數個跳板地址分批洗錢，最終完成整個洗錢和出金流程。但這位攻擊者，卻不走尋常路。

攻擊發生約 48 小時後，黑客將 1,620 枚 ETH 兌換為約 673 萬枚 DAI，這本應是市場預期的第一波"出貨"信號，多名鏈上分析師也隨即鎖定了這個鏈上行為，但在接下來的半年裡，這個地址的行為模式徹底背離了職業黑客的冷靜與隱匿，反而開始在鏈上瘋狂交易。

根據 Arkham 鏈上數據追蹤，該地址在短短六個月內累積了高達 625 筆交易記錄，活動高度集中在去中心化交易平台 CoW Swap。其交易標的頻繁往返於 WETH 與 DAI 之間，操作頻率遠超一般的長線持有者。因此與其說他是一個盜走千萬美元的黑客，不如說他更像一個交易員，又或是一個習慣"追跌入場、扛住波動、靠近成本線才出場"的散戶。

交易水平欠佳：一度浮虧超 400 萬美元，半年幾乎原地踏步

根據 Arkham 的盈虧追蹤數據，從 2025 年 10 月到 2026 年 2 月初，攻擊者地址的帳面資產曾多次浮虧超 300 萬美元；步入 2 月，虧損更是創下最高 480 萬美元。其交易模式高度一致：在低點不斷加倉、在波動中死扛，直到價格好不容易回升至成本線附近才選擇離場。

直至 3 月下旬，這名黑客才迎來轉機。他在 CoW Swap 上以 2,150 美元的均價，將 5,496 枚 ETH 兌換為約 1,186 萬枚 DAI，這筆操作為他帶來了約 93.5 萬美元的帳面獲利，也讓整體投資組合終於重回盈虧平衡線。然而，同期持有的 WBTC 部位正在侵蝕這筆利潤，黑客於 2026 年 1 月 30 日以均價 83,225 美元買入 203 枚 WBTC，截至近期已浮虧約 268 萬美元，這個建倉時點恰好踩在市場短暫反彈的高點，再一次，他又買在了相對高位。

透明的監獄與漫長的復原之路

UXLink 事件為加密犯罪史提供了一個獨特的視角：一名攻擊者在聚光燈下，持續留下高可見度的交易軌跡，讓全球鏈上分析師得以完整記錄其行為過程。

這或許並非源於黑客的疏忽，而是一種對"安全"的過時認知。他可能認為，只要將資產分散於多個地址，並在 DEX 操作以避開 CEX 的實名認證關卡，就能維持隱匿。然而，鏈上分析工具的進化速度已讓這種判斷顯得過於樂觀。Arkham、Lookonchain、PeckShield 與慢霧等機構幾乎即時鎖定了每一筆大額異動，黑客的每一次進出，都在公眾的注視下被完整攤開。這名黑客雖坐擁千萬美元，卻仿佛置身於一座透明的數字監獄。

對於 UXLink 項目方而言，這種現狀既是些許安慰，也是極大的困境。資產雖然並未消失，仍在可追蹤的區塊鏈上；但在缺乏司法管轄權干預的鏈上世界，"看得到"與"追得回"之間，依舊橫亙著一道難以跨越的鴻溝。

儘管 UXLink 在事件後迅速完成了新合約審計、代幣兌換、以及用戶補償計劃，試圖重建市場信心，但代幣價格已從 2024 年 12 月的高點 3.75 美元跌至約 0.0044 美元，跌幅高達 99%。對於 UXLink 來說，修補代碼漏洞或許只需幾周，但要從近乎歸零的廢墟中重建生態，路途依然漫長且艱辛。

熊市面前，對所有人一視同仁

UXLink 黑客的故事成為了"市場現實"的縮影，而非僅僅是一場安全事故。

雖然他擁有精湛的技術，能精確捕捉 delegateCall 的漏洞並繞過多簽防禦，在數小時內完成一場縝密的收割；然而，在資金入帳後，他面對的是與一般散戶無異的困境：市場並不關心籌碼從何而來，ETH 在持有期間依然下跌，BTC 在建倉後照樣套牢。

這個結局毫無憐憫之必要，卻充滿諷刺。攻擊者費盡心機竊取的資產，最終在市場波動中磨損殆盡，半年後的帳面價值竟與入場時相差無幾。他不是第一個在熊市中折損的 ETH 持有者，更不會是最後一個在抄底 WBTC 時被市場反噬的投機客。