CertiK报告：2025年Web3损失增37%，供应链与钓鱼攻击成主因

12月23日，全球领先的Web3安全公司CertiK发布《2025 Skynet Hack3D Web3安全报告》，全面回顾过去一年中行业面临的主要安全挑战。尽管市场环境回暖且监管预期更加清晰，但系统性风险依然严峻。

报告显示，2025年共发生630起安全事件，总计造成约33.5亿美元损失，较2024年增长37%。虽然事件数量减少137起，但单次攻击平均损失达532.2万美元，同比激增66.6%，反映出攻击者正聚焦高价值资产。

供应链攻击推高年度损失

从攻击类型看，供应链攻击成为2025年最大损失来源。全年仅记录两起相关事件，累计损失高达14.5亿美元，占总损失近半。其中，2月发生的Bybit事件贡献了约14亿美元损失，被列为迄今规模最大的加密资产盗窃案之一。 攻击者未直接入侵交易所系统，而是通过渗透第三方多签钱包服务商的开发者环境，在签名流程中植入恶意代码，绕过多重审批机制。这一手法凸显出对关键服务提供方和底层工具的依赖已成为新型系统性风险。

钓鱼攻击高发，AI技术成为放大器

网络钓鱼仍是2025年最常见威胁，全年记录248起，造成约7.23亿美元损失，频次略高于代码漏洞攻击（240起）。但报告指出，实际数量可能更高——大量链下社会工程学攻击未被披露，尤其是小额损失或针对个人用户的诈骗行为。 人工智能的普及正在降低钓鱼攻击门槛。攻击者利用AI生成高度仿真的钓鱼网站、钱包弹窗及多语言诈骗信息，并结合链上数据与社交媒体内容实现精准投放。传统基于语法错误或模板特征的识别方式已难以应对。

监管趋清晰，安全从成本项转为基础设施

在风险上升的同时，全球监管环境呈现积极变化。美国稳定币与数字资产透明度立法进展明确，欧盟MiCA框架落地，新加坡与香港监管沙盒持续推进，推动行业向规范化发展。 CertiK强调，随着机构资金持续入场，安全能力正从“事后补救”转变为项目设计与运营中的基础设施要素。无论是项目方还是个人用户，安全已不再是可选项，而是决定长期生存力的核心变量。 报告展望称，未来一年，AI驱动的仿冒攻击、复杂化供应链入侵及针对个人用户的社会工程学攻击将持续演变。唯有将安全嵌入架构设计、开发流程与用户体验之中的项目，才能在新一轮市场趋势竞争中脱颖而出。