10月16日，链上安全监测机构 PeckShieldAlert 发出预警：一家名为 Bofur Capital 的加密资本机构，其关联地址遭遇网络钓鱼攻击，控制权在不明攻击者手中被悄然转移。在短时间内，该地址中约 200 万美元的 DAI 被全部划走，攻击者没有做任何停留，直接在链上完成资产形态转换，将被盗的 DAI 兑换为 825.5 枚 ETH。这一连贯且高效的链上动作，清晰地勾勒出一次针对机构参与者的精确打击——资金被盗、迅速换币、后续去向暂未公开披露，几乎不给防御方留下反应窗口，也再次提醒市场：即便是专业机构，也始终暴露在持续演化的链上安全威胁之下。
钓鱼攻击落点：Bofur资金被一笔卷走
这一次被精准锁定的，并不是缺乏经验的散户，而是一家在行业内已有布局的加密资本机构。PeckShieldAlert 披露的链上数据指向同一个主体：Bofur Capital 的关联地址在 10 月 16 日遭遇网络钓鱼攻击，被盗资金规模约 200 万美元的 DAI。攻击被界定为一次“phishing exploit”，意味着核心风险点在于地址所有者在不知情的情况下向恶意方授予了授权或访问权限，而非某个合约出现了可被自动化利用的底层漏洞。
从已公开的链上轨迹看，这是一笔从单一机构关联地址发出的异常转账：授权一旦落入攻击者手中，巨额 DAI 很快被从该地址转出并由攻击者控制，随后完成换币，但关于这一切是通过伪装链接、仿冒网站还是钓鱼合约实现，现有材料没有给出任何明确说明。同样，攻击者身份、是否存在更大规模的预谋行动，也均停留在未知状态。当前围绕事件的叙述几乎完全建立在单一监测来源之上，缺乏多方交叉验证，在更多细节浮出水面之前，这起钓鱼案仍只能被视作一笔针对机构地址的未明真相的链上攻击事件。
从DAI到825.5枚ETH：被盗资产的链上换手
资金被划走之后，攻击者几乎没有停顿。据公开链上监测数据显示，那笔约200万美元的DAI并未在受控地址中长时间停留，而是被迅速集中兑换为825.5枚ETH，基本等同于将此次钓鱼所得的全部筹码，在短时间内完成一次“资产形态重铸”。从交易路径来看，外界目前只能明确这一笔DAI→ETH的转换行为，至于这批ETH后续是否被拆分、跨链、混合或继续转移，公开信息尚未给出答案。
为何要第一时间把被盗的DAI换成ETH，只能从行业惯常模式中揣测可能动机。一方面，DAI由中心化实体发行，理论上可以针对特定地址实施冻结或限制，这种“可干预性”在安全事件中经常被视为潜在风险；将被盗资金换成ETH这类主流链上资产，或许是为了在技术上降低被直接冻结的概率，为后续转移和隐匿腾出操作空间。另一方面，在过往的安全事件里，攻击者偏好将被盗的稳定类资产迅速换成ETH等主流资产，再分批处理、延长追踪链路，本次针对Bofur Capital关联地址的钓鱼案，在资产换手这一环节上显然沿用了同样的路径选择。
机构也难幸免：钓鱼如何穿透日常安全习惯
这次被锁定的并非个人用户，而是被视为专业参与者的 Bofur Capital 关联地址。公开信息已指向“网络钓鱼”这一原因，却没有披露攻击者到底是通过何种载体、何种界面或何种话术取得该地址的控制或授权。换句话说，即便是长期浸泡在行业里的机构账户，同样处在公开互联网的攻击面之中，常规的安全认知和“经验”并不能自动抵挡一次设计精巧的钓鱼。
从过往行业经验看，钓鱼往往通过几类手段切入：伪造与官方极为相似的网页或钱包界面，引导用户在错误页面完成登录或授权；利用看似正常的签名请求埋入超范围权限；或者在社交渠道上冒充项目方、合作伙伴，诱导受害者点击链接并执行操作。需要强调的是，目前并无证据显示上述任一具体手法被用于本案，只能作为理解风险的参照背景。对机构而言，问题往往更复杂：多钱包、多签结构下，涉及多名成员分工协作，某个运营或风控角色可能只负责日常签名，却在忙碌中习惯性点开链接、接受授权；权限管理若缺乏足够的颗粒度和复核流程，一旦某个拥有关键签名权的账户在钓鱼页面上“正常完成了一次操作”，结果就可能是整个机构地址暴露在攻击者面前，在这种结构下，只要有一环在授权上出现疏漏，单次损失就可能远超普通用户可承受的范围。
链上预警与媒体扩散：一次单一来源事件
在这批授权被滥用、资金从机构地址流出的当日，链上安全监测账户 PeckShieldAlert 率先捕捉到异常：10 月 16 日，它对外发布预警，点名 Bofur Capital 关联地址遭遇钓鱼，约 200 万美元规模的 DAI 资产被转出，并在链上迅速被兑换为 825.5 枚 ETH。此次预警不仅给出了受害地址与大额资金迁移的时间节点，也将“200 万 DAI→825.5 ETH”这条关键路径锁定为后续所有讨论的事实基础。
随后的舆论扩散几乎完全围绕这一条链上预警展开。金色财经、深潮 TechFlow、PANews 等多家媒体在 10 月 16 日当天先后转述了 PeckShieldAlert 的提示内容，无论是损失规模、资产品种，还是 DAI 已被兑换为 ETH 的细节，报道与原始预警高度一致，鲜少出现额外的独立信息补充。截止目前，公开稿件中尚未出现其他安全团队的单独分析，也没有来自 Bofur Capital 官方或相关方的确认声明，攻击者身份、钓鱼手法以及这批 825.5 枚 ETH 的后续去向仍然处于信息真空之中，在这样的单一来源框架下，读者对事件的理解不可避免地建立在有限监测数据之上，后续一旦出现更多经交叉验证的链上证据或机构回应，现有认知就必须做相应调整。
之后要看什么：资金去向与机构回应
从已确认的链上动作来看，目前唯一被清晰记录的是约 200 万美元规模的 DAI 被盗并被兑换为 825.5 枚 ETH，之后这批 ETH 是否会被进一步拆分、跨链转移或流入混币服务，仍停留在推测层面，没有任何公开证据能够确认后续路径。同样，在执法机关、交易所或发行方层面的介入情况上，也尚未有相关报道出现，Bofur Capital 自身对于损失如何承担、是否启动法律程序以及内部安全整改安排等关键信息，至今也未对外作出说明。对机构参与者而言，这次事件提醒的是：即便是专业资本也会在权限管理和签名环境上暴露攻击面，真正能被外界验证的只有链上的每一步资金轨迹。接下来值得关注的，将是围绕这 825.5 枚 ETH 的进一步链上追踪，安全机构或项目方是否披露更详细的攻击复盘，以及 Bofur Capital 何时、以何种方式给出正式回应，事件是否会在后续链上追踪和机构公开回应中得到更清晰的重构，将成为观察者下一阶段需要持续关注的关键变量。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到[email protected]，本平台相关工作人员将会进行核查。
