据成都链安『安全态势感知系统』数据监测显示：2020年9月，在区块链领域，多类型安全事件频繁发生，整体形势不容乐观。根据不完全统计，本月出现的典型安全事件超过44起，相比上个月有所增加，成为今年历史最高。典型安全事件统计
区块链行业起步不久，技术发展整体处于探索阶段。特别是，随着DeFi的市场走红，各种项目雨后春笋般崛起，技术底层、逻辑结构等诸多方面的铺设相对薄弱，安全风险漏洞极易出现。因此，对于区块链生态的每个环节而言，安全问题都必须放在首位，不容忽视。交易所方面共发生『6』起较典型的安全事件019月2日，首尔对韩国规模最大的加密货币交易所Bithumb进行搜查。该交易所被指控预售其价值300亿韩元的BXA代币，但从未将其上市，让投资者遭受损失。02欧洲交易所ETERBASE于周一晚间被盗，涉及BTC、ETH/ERC-20、XRP、TRX、XTZ和ALGO相关的六个地址。该交易所没有透露黑客攻击造成的具体损失金额，但根据TheBlockResearch的统计，该交易所热钱包损失超500万美元。相关情况已报告给执法部门，该交易所正在密切配合调查。后续跟踪资金转移情况发现，目前大部分被盗资金在币安等交易所。03日本加密货币交易所Fisco在美国法院提起了针对币安的诉讼。Fisco声称，在2018年Zaif遭遇黑客入侵丢失6300万美元的加密货币后，币安为黑客提供了便利。04英国加密交易所Covesting发推称，作为对库币安全漏洞的回应，以及保护受影响的COV代币持有者，Covesting团队已经冻结被举报地址中的COV代币。05斯洛伐克加密货币交易所Eterbase遭受黑客攻击，共计有540万美元的数字货币被盗。交易所称，其六个热钱包已被盗用，并且虹吸了比特币，以太坊，Ripple，Algorand，Tezos和Tron的资金。06据库币官方公告，2020年9月26日凌晨03:05:37，官方发现了一次有计划的黑客攻击，根据目前的内部安全审计结果判断，黑客通过获取到库币早期热钱包的备份镜像发起提现攻击，通过此次攻击提走了部分热钱包中的比特币和ERC-20等代币，价值约4800个比特币，约占平台总持有资金量的5%。
成都链安：fomo-dao项目遭受攻击，攻击者获利11万美元，目前已转至Tornado.cash:金色财经消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，fomo-dao项目遭受攻击。攻击者地址:
0xbb8bd674e4b2ea3ab7f068803f68f6c911b78c0a
攻击交易bsc：0xbbccd687a00bef0c305b8ebb1db4c40460894f75cdaebd306a2f62e0c86b7ba5
攻击合约:0xe62b2dfc54972354fac2511d8103c23883c746c4
目前攻击者获利11万美元，已经转至Tornado.cash[2022/6/4 4:01:44]
DeFi方面共发生『14』起较典型的安全事件01ZenGo的研究人员已正确披露了在Diogenes协议证明中发现的漏洞。该证明旨在为以太坊2.0随机信标链的可验证延迟函数提供原始熵。02以太坊账户疑遭遇GasPrice攻击，损失115个ETH。该用户从交易所提现115.299个ETH到以太坊账户，到账后被莫名其妙迅速转出到另一个账号。蹊跷的是对方实际只收到6.46个以太坊，而转账的Gas费用却高达108.83个以太坊，约36万人民币。03SushiSwap仿盘YUNoFinance(YUNO)与KIMCHI.finance(KIMCHI)智能合约均存在漏洞。智能合约拥有者可以利用漏洞，无限制地增发项目对应的代币数目，继而导致通胀并最终崩溃。049月3日晚间，以太坊研发者PhilippeCastonguay发推称，DeFi项目BaconSwap和shroom.finance均存在时间锁定漏洞，将允许项目所有者在没有时间锁定的情况下无限增发代币。05BlockstreamResearch团队宣布已经开发出一种解决方案MuSig-DN，可用于保护MuSig多签方案的用户免遭由恶意随机数生成器和虚拟机重置攻击导致的密钥泄露攻击。06开发人员在SushiSwap中发现了主要的治理缺陷，SushiSwap似乎很容易受到漏洞的攻击，这个漏洞可以在不需要获得新代币的情况下成倍增加某人的治理能力。07EOSDeFi流动性挖矿项目EMD合约emeraldmine1的大量质押资金被转移。其中，USDT正在通过DeFibox币币交易等渠道进行转卖。08YFI仿盘SoftYearn的一名用户因rebase机制漏洞用200美元获得了25万美元的回报。09EOS生态DeFi流动性挖矿项目“珊瑚”的wRAM遭到黑客攻击，损失逾12万EOS。截至9月10日已经有4.6万个EOS被转移至ChangeNOW进行。109月14日，bZx官方发推特称，已经对iToken合约代码出现的漏洞进行修复，并且协议已恢复正常运行。11DeFi稳定币协议Lien发布公告表示，团队的审计人员发现一个LienApp中的漏洞，决定暂时维护平台以防止漏洞被利用。129月23日消息，DeFiPulse周二晚在Twitter上表示，已识别漏洞并修复，并且已更正了历史数据。139月23日消息，此前被爆漏洞的DeFi项目Soda协议已于近日宣布修复漏洞，且新部署的智能合约预计9月22日21点生效。截至到9月23日，Soda协议的SoETH/WETH资金池内尚有等值ETH的2156个SoETH。149月29日，根据bluekirbyfi推特消息，yearn.finance创始人AndreCronje刚推出的游戏项目Eminence遭遇“Flash贷款”攻击，黑客将800万美元的资金返还给了yearn部署者合约。
成都链安：hackerDao项目遭受价格操控攻击，获利资金已转至Tornado.cash:金色财经消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，hackerDao项目遭受价格操控攻击。成都链安安全团队第一时间进行分析，发现攻击者先从先闪电贷借出2500WBNB，拿出部分WBNB兑换出大量hackerDao，然后将这笔hackerDao发送WBNB/hackerDao；并调用该交易对合约的skim函数将多余代币领取至BUSD/hackerDao。由于hackerDao代币在转账时，如果转账接收地址是BUSD/hackerDao时，会同步减少发送者的代币余额以收取手续费，因此,WBNB/hackerDao交易对中的hackeDao数量被异常减少，从而影响该交易对的代币价格，使得攻击者最终利用WBNB/hackerDao兑换出WBNB时，获取额外的收益。目前攻击者实施了两次攻击，总计获利约200BNB，已经转至Tornado.cash 。[2022/5/24 3:38:37]
Beosin评论本月DeFi项目安全问题频繁暴露，技术代码、业务逻辑等诸多方面对DeFi安全而言是不可忽视的漏洞多发地带。成都链安再次呼吁各大项目方，在项目上线之前做好安全审计工作。同时，建议投资者注意查看安全审计报告，投资前谨慎选择项目方。跑路/加密局方面共发生『3』起较典型安全事件019月26日，名为GemSwap的SushiSwap仿盘项目被曝跑路，LP被卷走。查询发现，该项目曾发推自曝其遭受了“whatitdobb”开发者的攻击。据了解，发起攻击的开发者在流动性迁移完成之前就获得了相关许可，能够将流动池中的代币取走，具体损失尚不明确。029月3日，德克萨斯州证券委员会(TSSB)专员TravisJ.Iles对两起名为ForexBirds和PEKUniverse的加密局发出了紧急停牌令。他们被控欺诈发行与外汇(forex)和加密货币相关的证券。ForexBirds涉嫌向投资者承诺高达11%的收益，其存款最高可达100万美元。03法国金融市场管理局发布了一份新的投资网站清单，这些网站没有在该国境内运营的授权，其中包括所谓的数字资产服务提供商。据称应用程序BitcoinFrance代表其客户在加密货币市场进行交易，每天产生1000美元的收入，且没有任何风险。很明显，这些描述带有投资欺诈的特征。
成都链安：Feminist Metaverse项目遭受攻击，攻击者已将1838BNB转入tornado.cash:据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，BNB Chain上Feminist Metaverse(FM_Token)项目遭受攻击。
攻击者地址:
0xaaA1634D669dd8aa275BAD6FdF19c7E3B2f1eF50
攻击交易bsc：0xfdc90e060004dd902204673831dce466dcf7e8519a79ccf76b90cd6c1c8b320d
目前攻击者已将1838BNB转入tornado.cash，约54万美元。[2022/5/19 3:26:26]
勒索软件/挖矿木马方面共发生『9』起较典型安全事件01腾讯安全威胁情报中心检测到新型挖矿木马家族MrbMiner，黑客通过SQLServer服务器弱口令爆破入侵，爆破成功后在目标系统释放C#语言编写的木马assm.exe，进一步通过该木马与C2服务器通信，然后下载门罗币挖矿木马并维持挖矿进程。02特斯拉创始人ElonMusk埃在一条推文中证实，俄罗斯男子EgorIgorevichKriuchkov用100万美元比特币贿赂内华达州特斯拉工厂一名员工，以便在特斯拉的计算机网络上安装勒索软件。03阿根廷官方移民局DirecciónNacionaldeMigraciones遭遇Netwalker勒索软件攻击，暂时停止了出入该国的边境。黑客要求赎金400万美元。阿根廷政府拒绝与黑客谈判，也不会支付赎金。04黑客向以色列纳斯达克上市无线芯片和摄像头传感器制造商TowerSemiconductorLtd进行勒索软件攻击，并索要数十万美元比特币赎金。05智利三大银行之一的BancoEstado银行7日不得不关闭其全国性业务，原因是受到了REvil勒索软件的网络攻击。据悉，REvil以拍卖在攻击中窃取的数据而闻名，并经常要求使用Monero(XMR)支付赎金。06动视暴雪《使命召唤：战区》的玩家抱怨帐户被盗。在某些情况下，黑客要求进行比特币支付以赎回游戏账户。黑客提供的地址迄今为止已收到1.2BTC。07巴基斯坦最大的电力生产商K-Electric遭遇勒索软件攻击，黑客索要约770万美元的比特币赎金。08数据中心和托管巨头Equinix遭到了Netwalker勒索软件攻击，威胁参与者要求450万美元购买一个解密器，以防止泄露被盗数据。099月13日消息，不久前，杭州市高新区一家民营企业向机关报案，称有人恶意攻击该公司官网，并勒索1个比特币。接到报案后，侦查机关很快锁定了犯罪嫌疑人钟某。滨江区检察院以破坏计算机信息系统罪对钟某提起公诉，钟某被法院判处有期徒刑五年零六个月。
成都链安：fortress被盗金额已被转换成1048eth并转入了Tornado Cash:5月9日消息，据成都链安安全舆情监控数据显示，fortress 遭受预言机价格操控攻击，被盗金额已被转换成1048eth并转入了Tornado Cash。经成都链安技术团队分析，本次攻击原因是由于fortress项目的预言机FortressPriceOracle的数据源Chain合约的价格提交函数submit中，将价格提交者的权限验证代码注释了，导致任何地址都可以提交价格数据。攻击者利用这个漏洞，提交一个超大的FST价格，导致抵押品价值计算被操控，进而借贷出了项目中所有的代币。
攻击交易：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf
攻击者地址：0xa6af2872176320015f8ddb2ba013b38cb35d22ad
攻击者合约：0xcd337b920678cf35143322ab31ab8977c3463a45[2022/5/9 3:00:21]
暗网方面共发生『2』起较典型安全事件019月2日消息，美国司法部于周二宣布暗网市场AlphaBay调解员BryanConnorHerrell被判处11年监禁，AlphaBay是一个可以通过Tor洋葱路由器路由器进入的暗网违禁品市场。违法者使用加密货币如比特币、门罗币以太坊进行交易。02由美国司法部、和暗网联合执法小组和欧洲刑警组织等多个组织共同执行的打击暗网犯罪的行动中没收超650万美元现金和虚拟货币。其他方面共发生『10』起较典型安全事件01开发BitBox硬件钱包的瑞士公司ShiftCrypto透露，在Trezor和KeepKey硬件钱包中发现了一个漏洞，该漏洞允许攻击者在不靠近设备的情况下持有用户的加密货币以进行勒索。02瑞士硬件钱包提供商ShiftCrypto表示，Trezor和KeepKey硬件钱包中存在一个漏洞，可能会引发潜在的赎金攻击。Trezor硬件钱包的制造商SatoshiLabs向ShiftCrypto支付了赏金，并表示在最近发布的升级中已经解决了这个问题。03风险投资家TimDraper此前声称购买BCH或为乌龙事件。9月5日凌晨TimDraper突发推特称已购买BCH，并对RogerVer表示感谢。该条推文也引起了加密社区的关注。但OpenNode联合创始人Jo?oAlmeida随后证实，TimDraper推特账户已被泄露。049月9日早间，加密浏览器Brave官方发推宣布，已整合网络安全公司PhishFort的开源解决方案，防止网络钓鱼攻击。此后Brave将检测加密局，并警告用户有关的可疑域名。05目前有一个比特币钱包成为了众多黑客的攻击对象，该钱包有69370枚BTC，价值7.14亿美元。目前这个钱包还没被人破解。069月16日，美国司法部、美国国土安全部和美国财政部外国资产控制办公室宣布，已对两名使用复杂的网络钓鱼活动从三个不同的加密货币交易所的客户那里窃取至少1680万美元的俄罗斯国民实施制裁。079月22日，加密衍生品交易所Deribit发推称，凌晨遭遇DDOS攻击，使得平台服务器难以访问。官方正在阻止攻击。目前，DDOS攻击已被阻止，官方已采取措施减少其他潜在问题。08闪电网络大额通道wumbo存在漏洞，使攻击者可以在几乎不费力气且零成本的情况下攻击支付通道，或导致通道瘫痪两周。09加密交易所Kraken的首席安全官NickPercoco宣布，已在Kraken上发布了四个新的安全增强功能，将从今天开始向该交易所的所有客户开放。包括安全防护、安全检查、设备批准和设备管理，其中“设备批准”功能将特别对抗网络钓鱼攻击。109月25日，据外媒报道，一种名为Alien的新木马病正在攻击Android手机上的加密应用程序，被攻击对象包括Coinbase、Blockchain.com和Luno。
成都链安：Li.Finance遭受攻击事件分析:金色财经消息，据成都链安链必应-区块链安全态势感知平台舆情监测显示，DEX聚合协议Li.Finance遭黑客攻击损失约60万美元，关于本次攻击，成都链安团队第一时间进行了分析发现：被攻击合约中的swapAndStartBridgeTokensViaCBridge函数中存在call注入攻击，可通过构造恶意的数据(_swapData)控制call调用的参数。在本次攻击事件中，攻击者恶意构建callTo地址为对应的代币合约地址，并调用代币合约的transferFrom函数转走受害地址的代币。[2022/3/21 14:08:55]
鉴于当前区块链安全领域的新形势，『成都链安』温馨提示从总体上看，9月区块链安全事件较8月份有所增加，整体安全事件发生数量较高。区块链安全形势依然严峻。本月DeFi项目仍是安全热点话题，又有许多项目的智能合约被爆出漏洞，甚至一些已经被黑客攻击利用，造成了损失。成都链安在此呼吁项目方，在进行合约代码编写时，一定要保持严谨的逻辑，在项目上线之前，寻找专业的安全公司做好安全审计工作。此外，本月发生的跑路事件较少，但是广大用户仍然不能放松警惕，在选择项目的时候仍然需要保持谨慎，留心考察项目资质、安全审计报告等。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。