Orbit Bridge安全事件（2023-12-31）
Orbit Bridge发生了什么？
2023 年 12 月 31 日（UTC；韩国时间 2024 年 1 月 1 日），Orbit Bridge 的 Ethereum 金库被 10 个多签签名人中的 7 个签署的提款转走约 8,150 万美元的稳定币、WBTC 和 ETH。Orbit 称未涉及智能合约漏洞；资金未能追回。
基本事实
- 日期（UTC）
- · UTC 2023-12-31，即韩国时间 2024-01-01，因此通常归为 2024 年事件
- 协议
- Orbit Bridge —— Orbit Chain（Ozys）在 Ethereum 上的多签桥金库
- 报告损失
- 约 8,150 万美元（USDT 约 3,000 万、USDC 约 1,000 万、DAI 约 1,000 万、231 WBTC、9,500 ETH）；DefiLlama 记为 8,170 万美元 BlockworksDefiLlama
- 根因
- 私钥 / 签名者被控 — 提款由 10 个多签签名人中的 7 个签署；Orbit 称不是合约漏洞，并归咎于一名前高管修改的安全设置（未经证实） BlockworksOrbit Chain (Ozys)
- 涉及链
- Ethereum
- 追回情况
- 未追回
- 官方复盘
- Official Statement Regarding Orbit Bridge Exploit
时间线
带具体时刻的条目为 UTC+8（北京时间）；只有日期的条目按 UTC 日历日。
- 2023-12-31 — 金库中的 USDT、USDC、DAI、WBTC、ETH 通过多签签署的提款被转走。 Blockworks
- 2024-01-02 — Blockworks 报道约 8,150 万美元损失及 10 签 7。 Blockworks
- 2024-01 — Orbit/Ozys 官方声明：不是合约漏洞；与执法部门合作。 Orbit Chain (Ozys)
资金去向与追回情况
Orbit 表示正与韩国执法部门合作并追讨资产（Orbit Chain）。未见被盗资产被追回的确认消息。
影响了哪些路线和桥？
Orbit Bridge 在 Ethereum 上的金库在几笔交易中被转空，其他链（主要是 Klaytn/Kaia 生态）上的 Orbit 跨链代币失去支撑。Orbit 不在 upswap 采样的桥之列。
为什么会发生？
Orbit Bridge 把用户在 Ethereum 上的存款放在一个由 10 签 7 多签控制的金库里。七个有效签名就把一切转走了，从链的角度看，这些都是合法提款（Blockworks）。Orbit 自己的声明称原因不是智能合约漏洞，后来又指向一名离职高管涉嫌削弱的安全设置。我们把这一说法视为 Orbit 的主张，而非既定事实（Orbit Chain）。
无论具体路径如何，攻击者拿到了七把签名密钥。这说明签名人不够独立：要么多把密钥放在共享的基础设施上，要么一次入侵就能拿到多把。10 签 7 的门槛只有在十把密钥由十个各自独立防护的主体持有时才算稳健。
这一事件也说明了依赖单一桥的生态所面临的“锁定-铸造”问题。Orbit 跨链稳定币在 Klaytn 上被广泛使用；金库一空，这些代币的价值就完全取决于是否有人愿意赔付持有人。
还有一个披露层面的教训。Orbit 的解释在数周后才发布，指向的是某个人而不是技术根因。像 2026 年的 Across 和 NEAR Intents 那样迅速发布带日期的技术复盘，用户和集成方才有东西可以核实；一份无法核实的说法，让持有人无从判断同样的弱点是否仍然存在。
用户当时该怎么做？现在该怎么做？
当时
Orbit 跨链稳定币的持有人无法阻止被盗；事后的保护措施是不再按面值接受这些代币，并在 Orbit 公布补偿方案前避开仍按 1 美元给它们定价的 DeFi 池子。
现在
当某条链上的稳定币是跨链版本时，弄清是哪座桥发行的、这座桥如何保护。优先使用发行方原生版本（例如通过 CCTP 获得的 Circle 原生 USDC），而不是锁定-铸造的封装代币；对你使用的任何多签桥，检查签名人的独立性。
哪些内容仍待核实？
- 待核实 Orbit 把原因归于前高管修改的防火墙设置——仅为 Orbit 的说法，未经独立证实。
- 待核实 DefiLlama 把攻击手法归类为签名验证缺陷，与多签密钥的说法不同；分类尚无定论。
来源
3 个独立发布方，链接按标注日期核对。
- Official Statement Regarding Orbit Bridge Exploit — Orbit Chain (Ozys) · 官方 · 核对于
- $80M lost in Orbit Bridge exploit — Blockworks · 媒体 · 核对于
- DefiLlama Hacks — Orbit Bridge, 2024-01-01 — DefiLlama · 数据库 · 核对于
如何引用本页？
Burn, A. / upswap.io（2026）。Orbit Bridge安全事件（2023-12-31）。更新于 2026-10-24。https://upswap.io/zh/incidents/orbit-2024#summary。CC BY 4.0。访问日期：____。
稳定锚点：#summary #facts #timeline #funds #affected #analysis #then #now #sources #cite