拆解 GIWA 假链诈骗案:Upbit 的 L2 主网还没上线,「主网」却先卷走 766 ETH——讲清「真链 ID+假链」这门零代码攻击的完整机关、名为 DYOR 的交易所为何没做 DYOR,以及「偷渡文化」如何把一整个行业训练成猎物

9 月 27 日是个周日。下午三点五十分，一个 ID 叫 Kiki 的中文交易员发帖：”工作室解散了。几个兄弟一年下来好不容易赚点钱，今天想着偷渡过去，到时候吃点溢价，一人打了 2-3 个 ETH。币他妈的都还没买一个，直接 RUG 了……我这边送了 10 多个 ETH。”他们”偷渡”的目的地，是当天在社区疯传的”GIWA 主网”——韩国最大交易所 Upbit 背后的以太坊 L2，市场等了一年的”国家队新链”。

差不多同一时间，GIWA 官方账号发出一条略带嘲讽的澄清：”仅供参考，我们尚未推出主网。也没有 RPC 泄露的可能性，因为我们从未推出过它。’DYOR’，并远离 FUD 和诈骗。”——DYOR，Do Your Own Research，加密世界最古老的生存忠告。而这场骗局里最响亮的耳光恰恰在于：把假链当真链接入、并向用户官宣”主网已上线”的那家交易所，名字就叫 DYORSwap。

当晚，DYORSwap 承认：它此前识别并集成的”GIWA 主网”是诈骗者搭建的假链，假链使用了正确的 GIWA 链 ID(9134)，用户经虚假跨链桥损失约 766 枚 ETH，约合 200 万美元。这是我们研究洞察频道本周第三篇安全事件复盘——前两篇是 Bitget 被盗 3.875 亿美元案与 THORChain 洗钱链路拆解——但今天这一起最特别：它没有黑掉任何代码，它黑掉的是”一条链怎么证明自己是自己”这件事，以及整个行业被牛熊周期训练出来的抢跑本能。本报告讲清三个问题：假链是怎么”验真”的；为什么从交易所到撸毛工作室没人识破；以及这个几乎必然会被模仿的新攻击面，该怎么防。

一、先认识两位主角：万众等待的”财阀 L2″，和靠抢首发为生的 DEX

GIWA：Upbit 母公司的以太坊 L2，测试网跑了一年，主网”只差临门一脚”

GIWA 不是无名项目。它是 Dunamu——韩国最大加密交易所 Upbit 的运营方，一家掌握韩国约 73% 加密交易量的公司——亲自下场做的以太坊 Layer 2。2025 年 9 月 9 日，Dunamu CEO 吴京锡在首尔 Upbit 开发者大会(UDC 2025)上正式发布 GIWA：基于 Optimism 的 OP Stack、1 秒出块、EVM 兼容；名字既是 “Global Infrastructure for Web3 Access” 的缩写，也取自韩国传统屋瓦”기와”——层层堆叠、承重防雨，寓意做 Web3 的”屋顶级”基础设施。发布当天，公开测试网 GIWA Sepolia 已在运行(链 ID 91342)，链上区块数超过 400 万。

此后一年，这条链的每一步都在加重市场的期待：2026 年 5 月 4 日，Dunamu 与 Optimism 基金会在 Consensus Miami 签署合作备忘录，GIWA 将成为 OP Enterprise “Self-Managed” 层级的第一条链，双方开始为”从测试网走向主网”做架构评审与安全审计；路线图里还挂着韩元稳定币生态与 Paymaster 代付 gas 的设想。翻译成交易员语言：一家手握数百万实名用户、随时能”上币即巅峰”的交易所巨头，要开自己的链了，而且没有发币——空投预期直接拉满。所有人都在等主网开闸，等着做”第一批链上居民”。

只有一个细节被多数人忽略了：截至案发当天，GIWA 官方文档的主网一栏写的仍是”开发中，敬请期待”，官方只公布过测试网 RPC。主网没有上线日期，更没有 RPC。

DYORSwap：13 条链上的”首发专业户”

DYORSwap 是一家典型的”新链游击队”式多链 DEX：AMM 现货、bonding curve 发币台(launchpad)、桥聚合、永续、预测市场打包在一个前端里，自称 “Everyone’s Favorite DEX”。它的生存策略不是在成熟链上与 Uniswap 拼深度，而是抢在每一条新链的”第一天”甚至”第零天”出现：Unichain 主网 2024 年 11 月起处于只对基础设施方开放的静默运行期、2025 年 2 月才公开上线，而 DYORSwap 在静默期就完成部署，一度做到该链第二大 DEX；Circle 的机构链 Arc 在 2026 年 8 月还处于私测阶段时，它的发币台已经登陆。对这类平台，”首发”就是全部获客与收入来源——2025 年四季度它在新链 Plasma 上的发币台单季收入 2.5 万美元，前一季更靠早期红利录得约 37.7 万美元毛收入，是其历史上唯一像样的季度。

但红利之外的常态相当骨感。按 DefiLlama 数据(本报告 9 月 28 日凌晨实时拉取)：DYORSwap 全平台 TVL 约 278 万美元，最近 30 天 AMM 手续费合计 1,225 美元，30 天交易量约 43.3 万美元，协议净收入约等于零(AMM 手续费全归流动性提供者)。记住这组数字——它是后文”补偿方案”争议的全部背景。

二、案发 24 小时：一条假链的完整生命周期

时间(9 月 27 日，UTC+8)	事件	信息源
此前~当日凌晨	DYOR 社区大群内有人发布”GIWA 主网”信息，包含跨链桥地址与 RPC 端点，声称主网已静默上线(“偷跑”)	0xShawn 复盘、Odaily 汇总
凌晨~上午	据社区复盘：DYORSwap 开发者核对链 ID 为 9134(与官方预留一致)后信以为真，部署交易市场；为防其他平台”分流”，还将 RPC 做了封装；随后官方账号发布上线消息	0xShawn 复盘(与 Odaily 汇总相互印证)
白天	用户经假桥向”GIWA 主网”打入 ETH，围绕 $GIWACAT、$FAKER 等 meme 币交易，资金跨入后集中买入 $FAKER；撸毛工作室批量”偷渡”等待吃上线溢价	TokenPost、Odaily、@TraderKiki_ 自述
午后	假桥停止放行，桥内资金开始向外归集，社区察觉”RUG”；受损用户开始发声	@TraderKiki_(15:51 前发帖)
~15:00 前后	GIWA 官方(@GIWA_by_Upbit)澄清：主网从未上线，不存在”RPC 泄露”，”DYOR 并远离 FUD 和诈骗”(TechFlow 16:03 首报)	GIWA 官推、TechFlow
15:49	中文 KOL 0xShawn 发内情复盘并道歉：”我看 dyor 群把链信息发出来了，然后平台部署了，就发推了，没有仔细研究。对不起所有人”	@ShawnThread
16:26 前	DYORSwap 发布安全事件通知：确认假链、链 ID 9134 使初步验证”显得合法”、已发现社区内可疑消息与个人；宣布联系安全团队追踪、保存全部证据(聊天记录、RPC 信息、桥地址、链上交易)、筹备动用国库补偿	@DYORSWAPDEX、Odaily/ChainCatcher 16:26
19:20	链上追踪汇总：假桥共收到超 766 ETH，先转入尾号 4134 地址，再转往尾号 6b60 与 3da4 地址，资金仍在移动	Odaily”今日热议”
20:41	DYORSwap 公布补偿方案：桥入不足 5 ETH 的地址按 40% 补偿；超 5 ETH 的地址因”部分疑似涉及钓鱼或诈骗桥操作”单独审核；公布官方发放补偿的地址，强调绝不会要求用户转账或付费	TechFlow、PANews

把时间线压缩来看：从”主网上线”的消息在社区扩散，到假桥卷款败露、官方双双发声，整个骗局的公开生命周期不足 24 小时；而从 GIWA 澄清到 DYORSwap 给出赔付方案，只用了约六个半小时。诈骗的执行效率和善后的响应速度都创下了某种纪录——前者说明这是一场精心编排的伏击，后者说明连当事平台都清楚：这口锅，它得先接住。

三、机关拆解：为什么”链 ID 是对的”恰恰是陷阱本身

DYORSwap 事后通告里最关键的一句是：”该假网络使用了正确的 GIWA 链 ID(9134)，使其在初步验证阶段显得合法。”要看懂这句话为什么荒谬又为什么真实，需要先回答一个多数人从没想过的问题：一条区块链，是怎么证明”我是我”的？

1. 链 ID 只是一个”协调号码”，不是身份证。它源于 EIP-155，设计目的是防止一笔签名交易被拿到另一条链上重放——本质是个防撞车的编号，就像无线电频道号。它没有签名、没有证书、没有任何密码学绑定。任何人下载 OP Stack 或 geth，把配置文件里的 chainId 改成 9134，十分钟后就能拥有一条”链 ID 正确”的链。钱包添加自定义网络的标准接口(EIP-3085)也只校验”RPC 返回的链 ID 与声明一致”，不校验、也无法校验”这条链是谁运营的”。
2. GIWA 的”真身份”公示了一年，但只是一块无主的号牌。我们查证了以太坊社区的链注册表 ethereum-lists/chains：2025 年 9 月 29 日，Dunamu 工程师提交了 GIWA 主网的登记(编号 9134)，状态标为 “incubating”(孵化中)，RPC 一栏为空。这个动作本意是占号防撞，客观效果却是：全世界都知道”GIWA 主网=9134″，而官方又迟迟不填入 RPC。“号牌公示”与”主网上线”之间这一年的空窗，就是诈骗者的整个作案空间——他们不需要伪造身份，只需要抢在真身出现之前，戴上这块真号牌登场。
3. 真正无法伪造的东西，恰恰没人去查。OP Stack 这类 Rollup 的资金入口在以太坊主网一侧：用户跨链的 ETH 应当锁进官方部署、可公开核验的 Portal 合约，取款受挑战期与证明机制约束，资金动向全程可审计。而本案的”桥”只是一个由诈骗者控制的收款地址——ETH 打进去后被径直归集转走(尾号 4134，再转 6b60、3da4)。看一眼 L1 桥合约的部署者是谁、资金是锁着还是在被人搬走，骗局一分钟就会穿帮。但”初步验证”停在了链 ID。

验真要素	真主网上线应有的样子	本案假链提供的版本	能否伪造
链 ID	9134(官方预留)	9134(直接冒用)	可以，零成本
RPC 端点	官网域名下公布(如 rpc.giwa.io)	诈骗者自建节点，非官方域名，经 DYORSwap”封装”后分发	可以，自建即可
出块与浏览器	官方浏览器同步公告	假链真出块(链本身可以是”真”的 OP Stack 部署)	可以
L1 侧桥合约	锁仓于官方 Portal 合约，部署者可溯源、资金可审计	诈骗者控制的收款地址，资金即入即转	难：合约地址与部署者无法冒充官方
官方公告	官网、官推、文档三处同步	无——只有社区群聊消息+”偷跑”叙事解释为什么官方沉默	无法伪造，但可用”静默上线”话术绕过

四、为什么这么多人上钩：被三年牛熊训练出来的”偷渡”肌肉记忆

如果只看这一案，很容易得出”用户贪、平台蠢”的廉价结论。但把镜头拉远，会看到一条清晰的行为训练链：过去三年，抢跑新链是加密世界回报最稳定的策略之一，而且从未出过”舞台本身是假的”这种事故。

时间	事件	“偷渡/抢跑”的回报	行为训练效果
2023-07~08	Coinbase 的 Base 主网只对开发者开放、官方桥未上线，用户手动向 L1 合约转 ETH”偷渡”进链，炒作 meme 币 BALD	BALD 一日千倍(FDV 峰值约 7,700 万美元)，数千万美元热钱涌入；随后项目方撤池，币价归零，但”偷渡的人吃到了头啖汤”成为流传叙事	确立”官方没开门≠不能进”的心智：直接给合约打钱成为可炫耀的 alpha
2023-11	Blast 在主网上线前三个月开放单向存款桥，”先打钱、三个月后才有链”	上线前锁仓 23 亿美元，早存者获多倍积分空投	把”盲打资金进未上线的链”制度化、正当化
2024-11~2025-02	Uniswap 的 Unichain 主网静默运行，仅供基础设施方测试，2025 年 2 月才公开；DYORSwap 等在静默期抢先部署	DYORSwap 一度成为该链第二大 DEX——”链 ID 对得上就当真”在 Blast、Unichain 两代新链上都被验证为正确且有利可图	DEX 侧形成标准作业：新链静默期 = 抢部署窗口，验真流程 = 核对链 ID
2026-09	“GIWA 主网偷跑”消息扩散，DYORSwap 抢部署，用户抢偷渡	舞台第一次是假的：约 766 ETH 被卷走	——

看懂这张表，就看懂了本案的真正性质：诈骗者没有发明任何新技术，他们只是精准做空了两种被市场反复奖励过的行为——用户side的”偷渡吃头矿”(Kiki 工作室一人 2-3 ETH 的打法，就是 Blast/Base 时代的标准仓位管理)，和平台侧的”抢首发保生存”(DYORSwap 全部的商业模式)。过去每一次抢跑成功，都在为这一次上钩积累筹码。行为金融学里这叫”火鸡的一千天”：喂食的手和拧断脖子的手，是同一只。

还有一层结构性诱因值得点破：GIWA 是”交易所系 L2″，而交易所系新链的空投预期天然带着”上 Upbit 即巅峰”的想象。韩国市场的溢价传统(泡菜溢价)、Upbit 上币的爆发力、以及”无币公链必发币”的经验公式，让”第一批进入 GIWA 主网”看起来像一张低成本高赔率的彩票。诈骗者选择伪造 GIWA 而不是别的链，是对猎物心理精确的画像：期待越具体，验证越懈怠。

五、善后：40% 的补偿、1,225 美元的月费，与一场公开的偿付能力测试

DYORSwap 的响应速度值得肯定：当天承认、当天定方案。但方案内容与它的财务体量放在一起，构成了本案第二个争议现场。

责任的三角划分同样值得记录。诈骗者是唯一的加害方，这点没有争议；但 DYORSwap 的角色远比”受害平台”重——它的部署与官宣客观上完成了骗局最难的一环：信用背书与流量分发。用户不是被陌生链接骗进假链的，是被一家运营多年的 DEX 的官方公告领进去的。而用户侧，”偷渡”本身就是一种明知绕过官方流程的投机行为，这也是 DYORSwap 敢于只赔 40%、且行业舆论未将其骂成”必须全赔”的原因。至于 GIWA：法律与技术上它确实什么都没做错——主网没上线、RPC 没泄露、文档写得明明白白——但那条带着耸肩表情、把 “DYOR” 打上引号的澄清，配上 Upbit 系一贯的克制公关，也让不少受损者感到被嘲讽。一场没有任何一方全然无辜、也没有任何一方全责的事故，恰恰是最难沉淀出行业规则的事故。

六、判断：「假链」是一个刚被验证的攻击面，而且几乎必然被模仿

我们的判断是：本案标志着加密行业的身份伪造攻击完成了最后一级跳——从假代币(同名蹭票)、假网站(钓鱼前端)、假 RPC(篡改余额显示)，升级到”假整条链”。它的可怕之处不在技术含量(搭一条同链 ID 的 OP Stack 链几乎零门槛)，而在于它攻击的是行业信任链条上最松的一环：“链的身份”至今没有任何强制验证机制，而”抢先上线”的经济激励让最该做验证的机构主动跳过了验证。只要三个条件继续成立——大牌新链保持”先公示链 ID、后择期上线”的节奏、DEX 与基础设施靠抢首发竞争、用户把偷渡当头矿——这个剧本就会被换个主角反复排演。下一个被冒充的，可能是任何一条万众期待、尚未开闸的链。

把教训落成三份可执行的清单：

1. 给用户：只认”官网公告+官方文档+官方浏览器”三处同步的主网信息，任何”偷跑 RPC”默认是钓鱼；跨链前查一眼 L1 侧桥合约——资金是锁进可溯源的官方合约，还是打给一个会往外转账的地址；牢记本案的元教训：越是你等了一年的空投，越是骗子为你定制剧本的素材。
2. 给 DEX 与基础设施：链 ID 匹配只是必要条件，永远不是充分条件；接入新链前核验三元组——L1 侧核心合约(Portal/SystemConfig)的部署者与官方公告是否一致、RPC 域名证书归属、创世哈希与官方文档比对；对”静默上线”传闻，用一条私信向项目方官方渠道求证——本案里这个动作的成本是零，收益是 766 ETH。
3. 给链方(尤其是”公示了链 ID 但未上线”的所有项目)：GIWA 事后给出的建议应当成为行业惯例——OP Stack 项目需公示以太坊侧 Rollup 合约以供核验，RPC 只应来自官网或可信合作方；更进一步：在链注册表预留号段的同时，明示”主网未上线、任何自称主网的 RPC 均为诈骗”的机器可读标记(9134 的 “incubating” 状态其实就是这个标记，只是没人看)；主网上线时同步公布”链 ID+创世哈希+L1 合约地址”三件套，给生态一个可自动化校验的锚点。

后续值得盯住三个指标：其一，赔付的链上兑付——DYORSwap 公布的补偿发放地址是否真实出账、覆盖多少地址与金额，这是对”国库黑箱”的直接检验，也决定这家 DEX 还有没有下一条新链可抢；其二，赃款去向——尾号 4134/6b60/3da4 地址链条是否进入混币器或交易所、有无安全公司出具归因报告、韩国执法(此案涉及 Upbit 品牌被冒用)是否立案；其三，行业规范的成形速度——钱包与 ChainList 类注册表是否为”预留但未上线”的链 ID 增加显式警示、主流 DEX 是否公开自己的新链验真清单。若三个月内这三项均无动静，那么本案将不是一次事故，而是一次新产品的公测：诈骗者已经验证了商业模式，剩下的只是规模化。

七、结语

给这起案件一句话定性：一场利用”链 ID 无法自证身份”的技术空隙、精准做空”偷渡文化”与”首发竞赛”两大行业惯性的社会工程攻击——766 ETH 的损失里，代码漏洞的贡献是零。GIWA 那条澄清推文把 “DYOR” 打上引号时，大概没有意识到它同时嘲讽了三方：没有 research 的用户、名字叫 DYOR 却没有 research 的交易所，以及一个把 “Do Your Own Research” 喊成口号、却从未给”research 一条链的身份”提供过任何基础设施的行业。屋瓦(기와)的寓意是层层堆叠、为屋下人遮风挡雨——而这一次，第一片瓦还没铺上房顶，就先被人揭下来，卖了 766 个 ETH。