2025年「扳手攻擊」暴增75%，加密資產損失達4100萬美元：CertiK最新警示

根據區塊鏈安全機構CertiK發布的最新報告，2025年針對加密貨幣持有者的「扳手攻擊」（Wrench Attack）事件激增75%，造成總計高達4100萬美元的資產損失。這類攻擊雖非技術性漏洞所致，卻因直接威脅人身安全而令受害者難以防範，已成為台灣及全球加密社群不可忽視的新型風險。

什麼是「扳手攻擊」？

「扳手攻擊」一詞源自英文「Wrench Attack」，比喻攻擊者如同手持扳手的歹徒，透過物理脅迫或暴力手段，強迫受害者交出私鑰、助記詞或解鎖裝置。與駭客遠端入侵不同，此類攻擊發生在現實世界，常見於高淨值個人、交易所員工或DeFi項目創辦人身上。

「技術再安全，也抵不過一把扳手。」—— 這句加密圈諺語，如今正成為殘酷現實。

攻擊手法與典型情境

跟蹤尾隨：鎖定經常出入加密活動或社群聚會的目標，掌握其行蹤後伺機下手。
假借合作名義：冒充投資人、媒體或合作夥伴，誘騙受害者至偏僻地點進行「面談」。
綁架勒索：直接綁架本人或其家人，要求立即轉移加密資產作為贖金。

為何2025年案件急遽上升？

CertiK分析指出，多重因素共同推升了扳手攻擊的發生率：

市場復甦帶動資產集中

2024年底至2025年初，加密市場迎來新一輪牛市，許多早期參與者帳戶餘額大幅增值。單一錢包內資產價值動輒數百萬美元，使犯罪集團將其視為高報酬目標。

社交媒體暴露風險

不少用戶在X（原Twitter）、Threads等平台公開炫耀持倉、硬體錢包照片或參與NFT活動，無意間洩露自身財富與日常動向，成為攻擊者鎖定對象。

如何有效防範扳手攻擊？

雖然無法完全杜絕人身威脅，但採取以下策略可大幅降低風險：

隱私管理優先

避免在公開場合透露持有加密資產的細節。
不分享硬體錢包、助記詞卡或交易截圖。
使用不同身分處理線上與線下活動，減少資訊串聯可能。

資產分散與多簽機制

將資金分散至多個錢包，並採用多重簽名（Multisig）設定，即使遭脅迫交出部分私鑰，攻擊者仍無法單方面提領全部資產。例如Gnosis Safe等工具已廣泛應用於團隊與高淨值用戶。

緊急應變計畫

預先規劃「緊急情境協議」，包括：

設置延遲提款機制（如時間鎖）
與信任夥伴約定暗號或驗證流程
定期演練資產凍結或轉移程序

產業界與監管的回應

面對此類非技術性威脅，傳統資安方案顯得力有未逮。目前已有部分去中心化保險協議（如Nexus Mutual）開始評估納入「人身脅迫」相關保障；同時，台灣金融監督管理委員會亦在2025年Q1提出「虛擬資產持有者安全指引草案」，建議業者加強客戶教育與異常行為通報機制。

防護措施	適用對象	實施難度
社交媒體隱私設定	所有用戶	低
多重簽名錢包	進階用戶、團隊	中
緊急資產凍結協議	高淨值持有者	高

常見問題解答

扳手攻擊只會發生在大戶身上嗎？

不一定。雖然高淨值目標更受青睞，但攻擊者也可能鎖定看似普通但頻繁交易、參與IDO或持有稀有NFT的用戶。只要被認為「有錢可圖」，都可能成為目標。

如果被脅迫交出私鑰，事後能追回資產嗎？

極為困難。區塊鏈交易具不可逆性，一旦資產轉出幾乎無法追回。因此預防遠比事後補救重要，建議事先設置多簽或時間鎖等防禦機制。

使用冷錢包就能避免扳手攻擊嗎？

冷錢包可防駭客遠端盜取，但若遭暴力脅迫要求當場輸入密碼或交出設備，仍可能失守。關鍵在於不讓他人知道你持有冷錢包，並搭配其他隱私與應變策略。

台灣有發生過真實案例嗎？

根據2025年刑事局公開資料，台北、台中已接獲至少3起疑似扳手攻擊通報，其中兩起涉及DeFi項目創辦人遭跟蹤後被強迫轉帳。因多數受害者選擇不報案，實際數字可能更高。

該如何教導家人理解此類風險？

建議以「數位黃金」概念解釋加密資產價值，並明確告知：絕不透露你的錢包位置、密碼或任何相關資訊。可模擬情境演練，例如「若有人上門說要幫你操作錢包，該怎麼做？」以提升警覺性。