2024年10月16日，跨链借贷协议Radiant Capital遭受黑客攻击，损失约5000万美元。此次攻击的复杂性和精准度引发业内广泛关注，多位安全专家表示“这种级别的攻击令人恐惧”。
攻击始末：PDF伪装与恶意软件植入
据Radiant Capital后续发布的调查报告以及OneKeyHQ的X平台分析，黑客与朝鲜黑客组织存在关联。攻击始于9月11日：一名Radiant开发者收到自称是前承包商的可疑Telegram消息，对方声称在寻找智能合约审计工作机会，并请求对过去的工作进行点评，同时发送了一个压缩PDF文件链接，链接指向一个模仿承包商真实网站的钓鱼页面。
压缩文件中包含一个名为INLETDRIFT的伪装可执行文件。开发者打开后，恶意软件立即植入macOS系统，建立起与黑客服务器的通信后门。更糟糕的是，该文件随后被分享给团队其他成员，导致恶意软件在内部进一步扩散。
中间人攻击与盲签名漏洞
黑客利用已获取的访问权限发动中间人攻击。尽管Radiant团队使用了Gnosis Safe多签钱包，但恶意软件截获并篡改了交易数据。开发者屏幕上显示的是正常交易，而实际发送到硬件钱包（Ledger）的指令已被替换为转移借贷池所有权的恶意调用。
由于Ledger钱包的盲签名缺陷，开发者无法看到交易的真实细节。在不到三分钟内，黑客成功获得Radiant协议资金控制权，提走全部资金，清除后门，抹去活动痕迹，给调查留下极少证据。
行业警示与改进建议
这次攻击提醒DeFi行业：技术堆栈的安全性不能只依赖前端验证和多签。具体建议包括：
· 转向在线协作工具，降低本地文件感染风险；
· 绝对避免从外部来源下载未验证文件；
· 采用高级验证工具和供应链监控以检测篡改；
· 硬件钱包应提供更详细的交易摘要，防止盲签名滥用；
· 引入时间锁和治理框架，延缓关键资金转移，为异常检测争取时间。
Radiant DAO目前正配合Mandiant、Zeroshadow以及美国执法机构进行追踪，努力冻结被盗资产，并承诺将经验教训公开分享，以提升全行业的安全标准。