Blink被盗6.61枚BTC，双重认证为何成唯一防线？

2026 年 10 月 4 日，加密钱包平台 Blink 正式发布对 9 月 19 日安全事件的完整复盘：攻击者利用一个自 2023 年 10 月起就存在的权限漏洞，成功盗取 24 个未启用双重认证的客户账户中总计 6.61 枚 BTC。值得注意的是，所有被盗账户均缺乏基础防护，而攻击者对 9 个启用双重认证账户发起的 18 次提现尝试全部失败——这不仅划清了技术漏洞与用户防护之间的责任边界，也暴露出行业在默认安全配置上的长期惰性。

漏洞如何从“后台通道”变成提款机？

Blink 在报告中承认，该漏洞允许任何拥有免费账户的用户获得客服级权限，进而接管其他客户账户并临时提高提现限额。这意味着攻击者无需破解密码或助记词，只需注册一个普通账号就能绕过身份验证核心防线。更令人不安的是，这一缺陷潜伏近三年才被触发，说明平台在权限隔离和内部审计上存在系统性盲区。虽然姓名、身份证件、地址、密码及助记词未泄露，但 3817 个账户的电话和邮箱信息已被获取，为后续钓鱼攻击埋下隐患。

被盗资金流向揭示跨链洗钱新路径

约 5 枚被盗 BTC 已通过跨链兑换服务转移，这符合近年黑客惯用的资金清洗模式：利用支持多链的桥接协议快速拆分、混币并转入隐私链或去中心化交易所。这也解释了为何 Blink 愿意拿出高达 3.3 枚 BTC（即追回金额的一半）作为悬赏——在链上匿名性增强的背景下，外部情报比内部追踪更可能锁定资产。

股东兜底赔付能否重建信任？

Blink 股东已对全部受影响客户完成全额赔付，短期内避免了挤兑风险。但这种“私人资本救场”模式难以持续：一方面，它掩盖了平台自身风控失职的成本；另一方面，未受损用户仍面临潜在数据泄露风险。市场真正关心的不是一次性的赔偿，而是平台是否将默认开启双重认证、限制高危权限接口、引入第三方安全审计。否则，下一次攻击可能不再局限于少数疏忽用户。

安全不是选择题，而是默认设置

这次事件最刺眼的对比在于：启用双重认证的账户无一失守，而未启用者全军覆没。这说明问题不在技术不可行，而在产品设计是否把安全当作默认选项而非可选附加。对于托管类钱包而言，让用户“自己负责”早已不够——当漏洞能赋予普通用户客服权限时，平台必须承担起主动防御的责任。真正的考验不是能否赔付损失，而是能否让下一次攻击连尝试的机会都没有。

悬赏计划若在 2026 年底前无实质线索反馈，可能反映当前链上追踪工具对新型跨链路径的覆盖盲区。