撰文：刘红林、徐悦雯
最近几天，DEXX 事件可谓是加密圈的热门话题。很多朋友发信息来问我作为律师怎么看这次事件，尤其是在用户资产被盗的情况下，项目方和那些帮忙推广的 KOL 是否需要承担法律责任？这篇文章，我们就来梳理一下这起事件的来龙去脉，并分享我个人的法律观点。
背景回顾
2024 年 11 月 16 日，DEXX 平台突然爆发了重大黑客事件，大量用户报告自己的账户内资产神秘消失。这一消息迅速在社交媒体上传开，引发了广泛的恐慌和愤怒。起初，很多用户还以为只是系统故障，但随着安全审计公司 CertiK 和 PeckShield 的深入调查，很快确认 DEXX 平台存在严重的私钥管理漏洞。黑客通过这一漏洞，轻而易举地获取了平台核心钱包的访问权限，将用户资产转移至多个匿名地址。
事发后，DEXX 团队发布公开信，试图通过支付赏金换取黑客归还资产。但这封信不仅没有平息用户的愤怒，反而引发更多质疑。有人认为，DEXX 团队可能是自编自导了一场「内部作案」的戏码。种种迹象表明，这次事件背后的水并不浅，而受害用户也开始自发组织维权行动，试图追回损失。
项目方的责任：草台班子还是不可抗力？
作为律师，我认为要先明确一点——项目方是否应该赔偿用户损失？ 如果 DEXX 项目方确实因为自己的管理失误，尤其是私钥管理上的「低级错误」而导致用户资产被盗，那么在法律上，他们理应对用户承担赔偿责任。这里说得直白一点，如果项目方的安全漏洞是由粗心大意或技术疏漏引起，而不是不可抗力因素，那么用户的损失就不能被简单地归咎于「黑客攻击」这个理由。
根据常见的用户协议，平台通常会对不可抗力事件免责，但这次事件显然不属于自然灾害或无法控制的外部因素，而是因为项目方没有尽到应有的安全管理义务。这种情况，法律上一般会认为是「管理失当」而非不可抗力。然而，如果用户想通过起诉的方式在国内维权，其实是非常困难的。DEXX 作为一家离岸注册的公司，用户需要跨境追诉，而且在当前中国的法律环境下，对虚拟货币的司法保护本身就存在诸多限制。因此，即便用户有合法的赔偿请求，落到实处的可能性依旧很低。
更值得一提的是，如果此次事件不是因为黑客攻击，而是项目方自编自导的「割韭菜」行为，那情况就完全不同了。如果证据显示项目方有意通过黑客攻击事件掩盖非法挪用用户资产的行为，那么这在国内可能会被认定为诈骗。有人可能会觉得项目方人在海外，国内公安奈何不了。但只要涉案金额足够大，公安部门完全有动力通过国际合作发起跨境追逃。历史上已经有不少类似案件的成功抓捕案例，认为「人在海外就高枕无忧」实在太过天真。
KOL 的责任：法律与人品的双重考验
在这次事件中，不少币圈的 KOL 为 DEXX 站台，积极在社交媒体上宣传拉新赚取佣金。相比其他平台，DEXX 返佣比例也比较高，最高达到手续费的 50-60%，这引发了另一个问题——帮忙拉新的 KOL 是否需要承担法律责任？ 这也是维权群里很多人所讨论的。最近我看到网上已经有人在汇总为 DEXX 推广的 KOL 名单，甚至包括一些我个人认识的朋友。KOL 应对的方式不同，有些 KOL 删去了宣传帖，有些 KOL 站出来道歉并承诺予以一定赔付，但这些也都只是自发的个人行为。
先说结论，从法律的角度来看，如果这些 KOL 仅仅是收取推广费用而帮忙宣传，实际操作中执法部门大概率不会优先追责这些 KOL。因为从执法性价比来看，与其分散精力追究多个 KOL 的责任，不如集中火力打击核心项目方。
然而，KOL 在币圈的口碑和声誉是至关重要的。我建议这些大 V，如果希望在圈内保持良好的品牌形象，还是应该在自己可接受的范围内，对粉丝进行适当的解释和表态，当然，这个已经超出了法律的范畴。但至少给所有 KOL 提了个醒——在推广项目时，不能只看广告费，而忽视对项目的基本的风险把控。否则，当用户发现自己因为这些推广内容而受损时，KOL 即便法律上免责，恐怕也难逃社群的声讨，承担巨大的道德和社群压力。
曼昆律师合规建议
DEXX 事件暴露出的不仅是技术漏洞，更是合规意识的缺失。如果项目方能够提前做好风险评估和防范，很多问题本可以避免。DEXX 事件让不少朋友们再次感慨这世界果然是个巨大的草台班子，事情后续发展剧情是怎样，可能要交给时间。但至少从现阶段暴露出来的问题，已经足够给 Web3 行业项目方和从业者一些有用的经验了。
（一）安全管理：从技术到制度的多层防护
首先，对于任何加密项目来说，资金安全是核心。DEXX 事件的教训在于，再好的技术创新，如果基础安全做不到位，一切都是空中楼阁。这里我想强调几点具体的安全管理措施：
私钥管理的多重签名与硬件隔离：项目方应当采用多重签名机制（Multi-Sig），确保即使一方的私钥泄露，也不会导致资金被盗。同时，私钥的存储应当采取冷钱包隔离，防止在线攻击。尤其是核心钱包的私钥，绝不应存储在联网设备上。这里建议采用硬件钱包结合离线备份的方式，最大程度降低被黑客窃取的风险。
引入第三方安全审计与定期测试：安全审计不能流于形式，而应作为项目上线前的必要环节。在 DEXX 的案例中，明显缺乏对私钥管理系统的审计和压力测试。项目方应当定期邀请专业的安全公司进行代码审查和漏洞测试，发现问题及时修复。同时，建立内部的应急响应团队，以便在突发事件发生时能迅速做出反应，而不是在危机中手忙脚乱。
完善内部风险控制流程：除了技术层面的安全，项目方还应当建立完善的内部管理制度，包括权限控制、操作日志审查、异常行为监控等机制。比如，资金转移操作应当设置严格的审批流程，并留有详细的操作记录。一旦发生异常，可以迅速追溯源头，并采取封堵措施，避免损失扩大。
（二）合规运营：主动拥抱监管，提升市场信任度
在当前全球加密市场监管日趋严格的背景下，项目方的合规运营不再是可选项，而是生存的必然。很多 Web3 项目为了规避法律风险选择离岸注册，然而事实证明，一旦发生用户资产损失或欺诈行为，这层「离岸保护伞」并不能真正保护项目方免于法律追责。
对于计划长期发展的项目方，建议在主要市场设立合规实体，确保在当地的运营合法合规。这不仅能够提升项目的公信力，还能有效降低未来的法律风险。通过主动披露财务状况、资金流向、用户协议和隐私政策，项目方可以更好地赢得用户的信任。
在合规的基础上，项目方可以考虑设立用户资产保障基金。当平台发生资金盗窃或意外损失时，能够第一时间补偿用户。这不仅是项目方对用户的承诺，更是行业自律的一种体现。通过设立这样的保障机制，可以减少事件发生后的信任危机。
（三）KOL 推广的自我规范
对于那些在社交媒体上为项目站台的 KOL 和大 V 来说，DEXX 事件也是切实的给大家提了个醒，有的广告费真的不是发个推就能赚的，要避免成为用户口诛笔伐的对象，KOL 必须在推广行为中承担更多的责任。
尽职调查是基本义务：KOL 在接受项目方的推广邀约前，应该先行进行基本的项目调查，了解项目的背景、技术实力和安全措施。如果发现项目在资金安全或合规方面存在明显问题，即便广告费再高也应果断拒绝。毕竟，短期的收益不足以弥补长期的信任损失。
设立风险提示与免责声明：在推广内容中，KOL 应当主动告知粉丝投资的潜在风险，而不是只宣传「高收益、低风险」的一面。尤其是在推广去中心化金融产品时，建议 KOL 加入清晰的免责声明，提醒用户投资需谨慎。这不仅是在法律上保护自己，也是在道义上对粉丝负责。作为意见领袖，KOL 与其粉丝之间有着信任关系。如果推广的项目出现问题，KOL 应当第一时间主动表态，而不是逃避责任。通过这种透明的沟通方式，可以有效减轻事件带来的负面影响。
结语
DEXX 这事儿又一次证明了，去中心化也不能当「护身符」用。如果项目方连基本的安全管理都搞不清楚，那就是在玩火自焚。黑客攻击是外因，但内部安全管理不到位才是真正的问题。要是把用户资产当儿戏，最终吃亏的只能是自己。
再说那些帮忙拉新的 KOL，大可不必只看眼前那点广告费就随便站台。币圈是个圈，口碑坏了想再翻身可没那么容易。毕竟，粉丝的钱不是大风刮来的，大家心里都有一杆秤。
