作者：2020 年底的大规模撤离

埋伏已久的安全隐患在 2020 年末爆发。2020 年 12 月 28 日，链上出现异常交易，属于 Lubian 弱密钥区间的大量钱包在数小时内被抽空，约 136,951 枚比特币被一次性转出，按照当时约 2.6 万美元的单价计算价值约 37 亿美元。

转账的手续费固定为 75,000 sats，无论金额大小均保持一致，这表明操作者对比特币网络操作了如指掌。部分资金随后流回 Lubian 矿池用于后续挖矿奖励，说明并非所有转出资产都落入黑客手中。但对于受害者而言，损失已成事实。

更诡异的是，部分链上交易携带留言，内容如「致拯救我们资产的白帽，请联系 [email protected]」。由于弱私钥地址已经暴露，任何人都可以向这些地址发送带有留言的交易，这些信息不一定来自真正的受害者。

到底是黑客戏谑，还是受害者求援，仍然无从知晓。致命的是，当时这场巨额转账并未立即被视为盗窃。

Milk Sad 研究者在后来的分析中坦言，当时比特币价格飙升、矿池收益停止，他们不确定是黑客所为，还是 Lubian 管理层在高点出售并重组钱包。他们指出「若在 2020 年就发生盗窃，那将早于已确认的 Mersenne Twister 弱密钥攻击时间线，但我们无法排除这种可能」。

正因为这种不确定性，2020 年末的资金撤离未能引发行业警报，巨额比特币随后多年沉寂链上，成为一个悬而未决的谜。

因此中招的不只是 Lubian 还有旧版的 Trust Wallet。2022 年 11 月 17 日，安全研究团队 Ledger Donjon 首次向 Binance 披露 Trust Wallet 中的随机数漏洞，团队反应迅速，次日项目方向 GitHub 推送修复，并陆续通知受影响用户。

但直到 2023 年 4 月 22 日，Trust Wallet 才正式公开漏洞细节和赔偿措施。在此期间，黑客利用漏洞发起过数次攻击，包括 2023 年 1 月 11 日盗走约 50 枚比特币。