成都鏈安：9月典型安全事件超44起，整體風險評級“高”_DEFI

據成都鏈安『安全態勢感知系統』數據監測顯示：2020年9月，在區塊鏈領域，多類型安全事件頻繁發生，整體形勢不容樂觀。根據不完全統計，本月出現的典型安全事件超過44起，相比上個月有所增加，成為今年歷史最高。典型安全事件統計

區塊鏈行業起步不久，技術發展整體處于探索階段。特別是，隨著DeFi的市場走紅，各種項目雨后春筍般崛起，技術底層、邏輯結構等諸多方面的鋪設相對薄弱，安全風險漏洞極易出現。因此，對于區塊鏈生態的每個環節而言，安全問題都必須放在首位，不容忽視。交易所方面共發生『6』起較典型的安全事件019月2日，首爾對韓國規模最大的加密貨幣交易所Bithumb進行搜查。該交易所被指控預售其價值300億韓元的BXA代幣，但從未將其上市，讓投資者遭受損失。02歐洲交易所ETERBASE于周一晚間被盜，涉及BTC、ETH/ERC-20、XRP、TRX、XTZ和ALGO相關的六個地址。該交易所沒有透露黑客攻擊造成的具體損失金額，但根據TheBlockResearch的統計，該交易所熱錢包損失超500萬美元。相關情況已報告給執法部門，該交易所正在密切配合調查。后續跟蹤資金轉移情況發現，目前大部分被盜資金在幣安等交易所。03日本加密貨幣交易所Fisco在美國法院提起了針對幣安的訴訟。Fisco聲稱，在2018年Zaif遭遇黑客入侵丟失6300萬美元的加密貨幣后，幣安為黑客洗錢提供了便利。04英國加密交易所Covesting發推稱，作為對庫幣安全漏洞的回應，以及保護受影響的COV代幣持有者，Covesting團隊已經凍結被舉報地址中的COV代幣。05斯洛伐克加密貨幣交易所Eterbase遭受黑客攻擊，共計有540萬美元的數字貨幣被盜。交易所稱，其六個熱錢包已被盜用，并且虹吸了比特幣，以太坊，Ripple，Algorand，Tezos和Tron的資金。06據庫幣官方公告，2020年9月26日凌晨03:05:37，官方發現了一次有計劃的黑客攻擊，根據目前的內部安全審計結果判斷，黑客通過獲取到庫幣早期熱錢包的備份鏡像發起提現攻擊，通過此次攻擊提走了部分熱錢包中的比特幣和ERC-20等代幣，價值約4800個比特幣，約占平臺總持有資金量的5%。

成都鏈安：Goldfinch項目的SeniorPool合約遭受攻擊，項目方累計損失超54萬美元:據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，Goldfinch項目的SeniorPool合約遭受攻擊，攻擊者累計獲利28523個USDC，項目方累計損失541158個USDC。經成都鏈安技術團隊分析，本次攻擊原因是攻擊者可以利用Curve的FIDU-USDC池子獲取FIDU代幣，來獲取SeniorPool合約抵押USDC代幣的紅利。目前Curve中FIDU兌換USDC為1:1.03, 而在SeniorPool中的比例為1:1.07，這就產生了套利空間。[2022/6/28 1:36:11]

DeFi方面共發生『14』起較典型的安全事件01ZenGo的研究人員已正確披露了在Diogenes協議證明中發現的漏洞。該證明旨在為以太坊2.0隨機信標鏈的可驗證延遲函數提供原始熵。02以太坊賬戶疑遭遇GasPrice攻擊，損失115個ETH。該用戶從交易所提現115.299個ETH到以太坊賬戶，到賬后被莫名其妙迅速轉出到另一個賬號。蹊蹺的是對方實際只收到6.46個以太坊，而轉賬的Gas費用卻高達108.83個以太坊，約36萬人民幣。03SushiSwap仿盤YUNoFinance(YUNO)與KIMCHI.finance(KIMCHI)智能合約均存在漏洞。智能合約擁有者可以利用漏洞，無限制地增發項目對應的代幣數目，繼而導致通脹并最終崩潰。049月3日晚間，以太坊研發者PhilippeCastonguay發推稱，DeFi項目BaconSwap和shroom.finance均存在時間鎖定漏洞，將允許項目所有者在沒有時間鎖定的情況下無限增發代幣。05BlockstreamResearch團隊宣布已經開發出一種解決方案MuSig-DN，可用于保護MuSig多簽方案的用戶免遭由惡意隨機數生成器和虛擬機重置攻擊導致的密鑰泄露攻擊。06開發人員在SushiSwap中發現了主要的治理缺陷，SushiSwap似乎很容易受到漏洞的攻擊，這個漏洞可以在不需要獲得新代幣的情況下成倍增加某人的治理能力。07EOSDeFi流動性挖礦項目EMD合約emeraldmine1的大量質押資金被轉移。其中，USDT正在通過DeFibox幣幣交易等渠道進行轉賣。08YFI仿盤SoftYearn的一名用戶因rebase機制漏洞用200美元獲得了25萬美元的回報。09EOS生態DeFi流動性挖礦項目“珊瑚”的wRAM遭到黑客攻擊，損失逾12萬EOS。截至9月10日已經有4.6萬個EOS被轉移至ChangeNOW進行洗錢。109月14日，bZx官方發推特稱，已經對iToken合約代碼出現的漏洞進行修復，并且協議已恢復正常運行。11DeFi穩定幣協議Lien發布公告表示，團隊的審計人員發現一個LienApp中的漏洞，決定暫時維護平臺以防止漏洞被利用。129月23日消息，DeFiPulse周二晚在Twitter上表示，已識別漏洞并修復，并且已更正了歷史數據。139月23日消息，此前被爆漏洞的DeFi項目Soda協議已于近日宣布修復漏洞，且新部署的智能合約預計9月22日21點生效。截至到9月23日，Soda協議的SoETH/WETH資金池內尚有等值ETH的2156個SoETH。149月29日，根據bluekirbyfi推特消息，yearn.finance創始人AndreCronje剛推出的游戲項目Eminence遭遇“Flash貸款”攻擊，黑客將800萬美元的資金返還給了yearn部署者合約。

成都鏈安：bDollar項目遭受價格操控攻擊，目前攻擊者獲利2381BNB存放于攻擊合約中:據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，bDollar項目遭受價格操控攻擊。攻擊者地址:0x9dadbd8c507c6acbf1c555ff270d8d6ea855178e

攻擊交易eth：0x9b16b1b3bf587db1257c06bebd810b4ae364aab42510d0d2eb560c2565bbe7b4

攻擊合約:0x6877f0d7815b0389396454c58b2118acd0abb79a

目前攻擊者獲利2381BNB，存放于攻擊合約中。[2022/5/21 3:32:53]

Beosin評論本月DeFi項目安全問題頻繁暴露，技術代碼、業務邏輯等諸多方面對DeFi安全而言是不可忽視的漏洞多發地帶。成都鏈安再次呼吁各大項目方，在項目上線之前做好安全審計工作。同時，建議投資者注意查看安全審計報告，投資前謹慎選擇項目方。詐騙跑路/加密騙局方面共發生『3』起較典型安全事件019月26日，名為GemSwap的SushiSwap仿盤項目被曝跑路，LP被卷走。查詢發現，該項目曾發推自曝其遭受了“whatitdobb”開發者的攻擊。據了解，發起攻擊的開發者在流動性遷移完成之前就獲得了相關許可，能夠將流動池中的代幣取走，具體損失尚不明確。029月3日，德克薩斯州證券委員會(TSSB)專員TravisJ.Iles對兩起名為ForexBirds和PEKUniverse的加密騙局發出了緊急停牌令。他們被控欺詐發行與外匯(forex)和加密貨幣相關的證券。ForexBirds涉嫌向投資者承諾高達11%的收益，其存款最高可達100萬美元。03法國金融市場管理局發布了一份新的投資網站清單，這些網站沒有在該國境內運營的授權，其中包括所謂的數字資產服務提供商。據稱應用程序BitcoinFrance代表其客戶在加密貨幣市場進行交易，每天產生1000美元的收入，且沒有任何風險。很明顯，這些描述帶有投資欺詐的特征。

成都鏈安：fortress被盜金額已被轉換成1048eth并轉入了Tornado Cash:5月9日消息，據成都鏈安安全輿情監控數據顯示，fortress 遭受預言機價格操控攻擊，被盜金額已被轉換成1048eth并轉入了Tornado Cash。經成都鏈安技術團隊分析，本次攻擊原因是由于fortress項目的預言機FortressPriceOracle的數據源Chain合約的價格提交函數submit中，將價格提交者的權限驗證代碼注釋了，導致任何地址都可以提交價格數據。攻擊者利用這個漏洞，提交一個超大的FST價格，導致抵押品價值計算被操控，進而借貸出了項目中所有的代幣。

攻擊交易：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

攻擊者地址：0xa6af2872176320015f8ddb2ba013b38cb35d22ad

攻擊者合約：0xcd337b920678cf35143322ab31ab8977c3463a45[2022/5/9 3:00:21]

勒索軟件/挖礦木馬方面共發生『9』起較典型安全事件01騰訊安全威脅情報中心檢測到新型挖礦木馬家族MrbMiner，黑客通過SQLServer服務器弱口令爆破入侵，爆破成功后在目標系統釋放C#語言編寫的木馬assm.exe，進一步通過該木馬與C2服務器通信，然后下載門羅幣挖礦木馬并維持挖礦進程。02特斯拉創始人ElonMusk埃在一條推文中證實，俄羅斯男子EgorIgorevichKriuchkov用100萬美元比特幣賄賂內華達州特斯拉工廠一名員工，以便在特斯拉的計算機網絡上安裝勒索軟件。03阿根廷官方移民局DirecciónNacionaldeMigraciones遭遇Netwalker勒索軟件攻擊，暫時停止了出入該國的邊境。黑客要求贖金400萬美元。阿根廷政府拒絕與黑客談判，也不會支付贖金。04黑客向以色列納斯達克上市無線芯片和攝像頭傳感器制造商TowerSemiconductorLtd進行勒索軟件攻擊，并索要數十萬美元比特幣贖金。05智利三大銀行之一的BancoEstado銀行7日不得不關閉其全國性業務，原因是受到了REvil勒索軟件的網絡攻擊。據悉，REvil以拍賣在攻擊中竊取的數據而聞名，并經常要求使用Monero(XMR)支付贖金。06動視暴雪《使命召喚：戰區》的玩家抱怨帳戶被盜。在某些情況下，黑客要求進行比特幣支付以贖回游戲賬戶。黑客提供的地址迄今為止已收到1.2BTC。07巴基斯坦最大的電力生產商K-Electric遭遇勒索軟件攻擊，黑客索要約770萬美元的比特幣贖金。08數據中心和托管巨頭Equinix遭到了Netwalker勒索軟件攻擊，威脅參與者要求450萬美元購買一個解密器，以防止泄露被盜數據。099月13日消息，不久前，杭州市高新區一家民營企業向機關報案，稱有人惡意攻擊該公司官網，并勒索1個比特幣。接到報案后，偵查機關很快鎖定了犯罪嫌疑人鐘某。濱江區檢察院以破壞計算機信息系統罪對鐘某提起公訴，鐘某被法院判處有期徒刑五年零六個月。

成都鏈安：BasketDAO遭到攻擊，導致用戶損失約120萬美元:據成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，BasketDAO遭到攻擊，導致用戶損失約120萬美元。通過鏈必追產品進行追蹤分析，發現大部分被盜資金都被存入了 TornadoCash，以下為受害者地址：[2022/3/30 14:27:04]

暗網方面共發生『2』起較典型安全事件019月2日消息，美國司法部于周二宣布暗網市場AlphaBay調解員BryanConnorHerrell被判處11年監禁，AlphaBay是一個可以通過Tor洋蔥路由器路由器進入的暗網違禁品市場。違法者使用加密貨幣如比特幣、門羅幣以太坊進行交易。02由美國司法部、和暗網聯合執法小組和歐洲刑警組織等多個組織共同執行的打擊暗網犯罪的行動中沒收超650萬美元現金和虛擬貨幣。其他方面共發生『10』起較典型安全事件01開發BitBox硬件錢包的瑞士公司ShiftCrypto透露，在Trezor和KeepKey硬件錢包中發現了一個漏洞，該漏洞允許攻擊者在不靠近設備的情況下持有用戶的加密貨幣以進行勒索。02瑞士硬件錢包提供商ShiftCrypto表示，Trezor和KeepKey硬件錢包中存在一個漏洞，可能會引發潛在的贖金攻擊。Trezor硬件錢包的制造商SatoshiLabs向ShiftCrypto支付了賞金，并表示在最近發布的升級中已經解決了這個問題。03風險投資家TimDraper此前聲稱購買BCH或為烏龍事件。9月5日凌晨TimDraper突發推特稱已購買BCH，并對RogerVer表示感謝。該條推文也引起了加密社區的關注。但OpenNode聯合創始人Jo?oAlmeida隨后證實，TimDraper推特賬戶已被泄露。049月9日早間，加密瀏覽器Brave官方發推宣布，已整合網絡安全公司PhishFort的開源解決方案，防止網絡釣魚攻擊。此后Brave將檢測加密騙局，并警告用戶有關的可疑域名。05目前有一個比特幣錢包成為了眾多黑客的攻擊對象，該錢包有69370枚BTC，價值7.14億美元。目前這個錢包還沒被人破解。069月16日，美國司法部、美國國土安全部和美國財政部外國資產控制辦公室宣布，已對兩名使用復雜的網絡釣魚活動從三個不同的加密貨幣交易所的客戶那里竊取至少1680萬美元的俄羅斯國民實施制裁。079月22日，加密衍生品交易所Deribit發推稱，凌晨遭遇DDOS攻擊，使得平臺服務器難以訪問。官方正在阻止攻擊。目前，DDOS攻擊已被阻止，官方已采取措施減少其他潛在問題。08閃電網絡大額通道wumbo存在漏洞，使攻擊者可以在幾乎不費力氣且零成本的情況下攻擊支付通道，或導致通道癱瘓兩周。09加密交易所Kraken的首席安全官NickPercoco宣布，已在Kraken上發布了四個新的安全增強功能，將從今天開始向該交易所的所有客戶開放。包括安全防護、安全檢查、設備批準和設備管理，其中“設備批準”功能將特別對抗網絡釣魚攻擊。109月25日，據外媒報道，一種名為Alien的新木馬病正在攻擊Android手機上的加密應用程序，被攻擊對象包括Coinbase、Blockchain.com和Luno。

成都鏈安CMO：交易所需建設一套完整的資金內控系統:3月11日晚8點，成都鏈安CMO Adolfo Gao做客“抹茶周三見”時發表觀點：交易所需建設一套完整的資金內控系統，并對每筆資金的出入都應該做好審核和記錄。此外他還指出，關鍵私鑰和轉賬授權的防護也是重中之重。成都鏈安科技是最早專門從事區塊鏈安全的公司，由前海母基金，聯想創投，復星國際，分布式資本等知名企業和創投戰略投資，電子科技大學楊霞教授，郭文生教授，高子揚博士聯合創立。“抹茶周三見”是MXC抹茶推出的一檔AMA活動，不定期邀請重量級嘉賓在周三進行分享。[2020/3/11]

鑒于當前區塊鏈安全領域的新形勢，『成都鏈安』溫馨提示從總體上看，9月區塊鏈安全事件較8月份有所增加，整體安全事件發生數量較高。區塊鏈安全形勢依然嚴峻。本月DeFi項目仍是安全熱點話題，又有許多項目的智能合約被爆出漏洞，甚至一些已經被黑客攻擊利用，造成了損失。成都鏈安在此呼吁項目方，在進行合約代碼編寫時，一定要保持嚴謹的邏輯，在項目上線之前，尋找專業的安全公司做好安全審計工作。此外，本月發生的詐騙跑路事件較少，但是廣大用戶仍然不能放松警惕，在選擇項目的時候仍然需要保持謹慎，留心考察項目資質、安全審計報告等。

Tags：DEFIEFIDEF比特幣去中心化金融defi什么意思DEFILANCER幣DeFiChain比特幣鉆石有前景嗎

中幣