本篇主要聚焦区块链生态安全概览及攻击手法。
区块链安全态势
近两年来，在疫情持续肆虐、经济衰退、能源短缺、地缘冲突升级、国际间竞争加剧等种种因素的影响之下，全球社会与经济发展遭遇了前所未有的挑战。与此同时，全球区块链行业也经历着一场不断加速的变革：区块链技术的效率、安全性和可扩展性得到不断改善，元宇宙、NFT 等新兴领域的兴起，使区块链行业正式迈入 3.0 时代。
根据慢雾区块链被黑事件档案库（ SlowMist Hacked ）统计，截至 6 月 30 日，2022 上半年安全事件共 187 件，损失高达 19.76 亿美元。
（2022 上半年安全事件）
在这些安全事件中，约 77% （144 起）源于项目自身存在漏洞被攻击者利用，损失金额约 18.4 亿美元，占安全事件总损失的 93%；约 21%（39 起） 源于包含 Phishing&Rug Pull 的 Scams，损失金额约 1.3 亿美元，占安全事件总损失的 6%。
（2022 上半年安全事件攻击原因分布图）
（2022 上半年安全事件攻击原因损失对比图）
区块链生态安全概览
根据被攻击对象的不同，我们将 187 起安全事故分为三部分：公链赛道、交易平台和其他。
Uniswap Bridge评估委员会已制定初步评估框架，最终报告拟于4月底或5月初提交:3月21日消息，由 Uniswap 基金会成立的 Uniswap Bridge 评估委员会已经制定初步评估框架，详细考察了跨链桥的安全性、弹性、可靠性和可持续性，一旦对应小组的工作完成，该框架将开源供其他人使用。
此外，团队确定了需要加强的领域，与 Wormhole 团队一起实施了 BNB Chain 部署实例的多项增强功能，Bridge Network 前联合创始人 Kimberly 加入团队协助工作，并将增加 2 至 3 名工程师，最终报告目前计划于 4 月底或 5 月初提交。
此前报道，Uniswap 基金会于 3 月 3 日宣布成立 Uniswap Bridge 评估委员会并启动评估流程。[2023/3/21 13:17:46]
公链赛道
作为区块链行业的基础设施，公链承载了人们对于区块链作为 Web3 底层网络的期望。随着一代又一代公链的崛起，NFT、DeFi、GameFi、元宇宙等生态热潮也相继迎来爆发，同时这些项目也促进了公链的发展与价值提升，使多链世界从理想走向了现实。据 Footprint Analytics 的数据，截至 6 月累计已收录的公链数量有 119 条，对比 2021 年 6 月收录的 31 条，同比增长约 284%。
（2021 与 2022 年 6 月公链数量对比）
但公链的快速发展同时是一把双刃剑，在促进产业进步的同时，引发的区块链安全问题也显著增加，我们分别从?DeFi、NFT、跨链桥三方面解析。
美国财政部即将发布DeFi犯罪使用情况报告:金色财经报道，负责恐怖主义融资和金融犯罪的助理部长Elizabeth Rosenberg表示，美国财政部即将发布一项风险评估，分析对去中心化金融 (DeFi) 的犯罪使用。Rosenberg周一在澳大利亚悉尼举行的银行活动中说，“非法行为者一直在寻找有效的方法来隐藏犯罪活动和清洗他们的收益，这对 DeFi 服务或虚拟资产生态系统的其他元素构成威胁。” 她说，她的团队正在“积极开展”一项即将发布的评估。
Rosenberg说，由于虚拟资产的“惊人”增长，该行业通常“将法规和金融犯罪合规视为事后考虑”。她说，与朝鲜有关联的团体已经说明了犯罪使用虚拟资产的潜在危害，这些团体“进行了勒索软件攻击，窃取了价值数亿美元的虚拟资产，并通过混合器和其他虚拟资产清洗了他们的不义之财”资产服务提供商为朝鲜的非法核计划和弹道导弹计划提供资金。”[2023/3/15 13:04:30]
DeFi 生态
DeFi 作为世界上最受欢迎的可编程区块链，2022 发展态势不可小觑，据 DeFi Llama 数据显示，6 月 30 日 DeFi 总锁仓价值为 1432 亿美元，其中 ETH 链以 945.5 亿美元的 TVL（Total Value Locked）占据了资金沉淀的半壁江山，其次是 BSC 链的 110.8 亿美元。2021 年以来，许多新兴公链如 Solana、Avalanche 等通过拥抱 DeFi 快速发展链上生态，也吸引了大量用户和资金沉淀。6 月 30 日 Solana TVL 为 26.4 亿美元，同比增长 77%；Avalanche TVL 为 55.4 亿美元，同比增长 96%。
江苏省发布2023工作报告：建设国家区块链发展先导区，积极发展元宇宙等未来产业:金色财经报道，江苏省发布《2023年江苏省政府工作报告》，其中指出将深入实施数字经济核心产业加速行动计划，积极发展元宇宙等未来产业，力争数字经济规模突破5.5万亿元。推动国家区块链发展先导区建设。[2023/1/28 11:33:42]
（2022 上半年 DeFi TVL）
随着 DeFi 热潮的兴起，该领域也自然成为了黑客觊觎的重点对象。根据 SlowMist Hacked 统计，截至 6 月 30 日 DeFi 安全事件约 100 起，损失超 16.3 亿美元。其中在 BSC、ETH、Fantom、Solana、Polygon、Avalanche、跨链桥上发生的安全事件数量分别为 47 起、29 起、8 起、5 起、2 起、1 起、7 起，所造成损失分别为 1.4 亿美元、3.08 亿美元、5491 万美 元、6383 万美元、1310 万美元、830 万美元、10.43 亿美元。
（2022 上半年 DeFi 安全事件分布）
NFT 生态
基于区块链技术的 NFT 也是需要重点关注的对象，随着一批头部 NFT 项目的崛起和各路名人的参与，NFT 极速发展。根据 Dune Analytics 的数据，OpenSea 的交易量在 1 月份达到上半年最高峰 2.84 亿美元，而随着加密货币市场的变化，OpenSea 在 6 月份的交易量只有 1558 万美元，下滑 94%。在 NFT 的热潮中，目前以太坊生态的 NFT 在市值和交易量依旧占据市场的主流，交易量超 90%。除了以太坊外，从近 30 天交易量和近 7 天交易量这些短期数据来看，Solana，Flow 等生态的 NFT 也正在快速发展，且表现亮眼，多链时代距离我们越来越近。
中国人民银行发布《2021年人民币国际化报告》:9月18日消息，中国人民银行发布《2021年人民币国际化报告，报告指出，下一阶段，人民银行将进一步完善人民币跨境使用的政策支持体系和基础设施安排，推动金融市场双向开放，发展离岸人民币市场，为市场主体使用人民币营造更加便利的环境，同时进一步健全跨境资金流动的审慎管理框架，守住不发生系统性风险的底线。
人民银行将继续推动金融市场高水平双向开放，丰富风险对冲工具，提高境外主体配置人民币金融资产的便利化水平，支持境外央行、货币当局和储备管理部门配置人民币储备资产，拓展人民币的储备和投资货币功能。 以周边及“一带一路”沿线国家为重点，加强央行间本币结算合作，优化境外人民币使用环境。继续按照“成熟一个、推出一个”的原则，推进人民币对相关国家货币直接交易，支持境外国家发展当地人民币外汇市场。[2021/9/18 23:35:15]
（2022 上半年 OpenSea 交易量变化图）
（2022 上半年 NFT 攻击事件原因分布图）
并且随着时间推移，不法分子的攻击逐渐猖獗，根据 TRM Labs 发布的报告 ，在 5、6 两个月，由 TRM Labs 社区主导的报告平台 Chainabuse 收到了超过 100 份关于 Discord 黑客攻击的报告；自 5 月以来，NFT 社区损失约 2200 万美元；6 月，黑客在被黑的 Discord 中发布 NFT 相关的钓鱼攻击同比增加了 55%。
动态 | 2019Q3现货交易所研究报告：市场交易总量达4.7万亿美元 环比增长16.07%:TokenInsight发布《2019Q3现货交易所研究报告》。报告显示：
1.三季度全市场交易总量达4.7万亿美元，环比增长16.07%，与二季度相比增速明显放缓；7、8、9三个月交易量呈缓慢震荡下行趋势。究其原因主要是现货市场行情较为冷淡，加密资产世界风险溢价高，增量资金少。本季度市场中的交易资金主要为二季度的存量交易。
2.中心化交易所仍然占据市场份额的99%以上，甚至较二季度的99.86%又增加了0.04个百分点，达到99.90%。虽然去中心化交易所有其自身独特的优势，各大头部交易所也纷纷布局去中心化交易所，但由于目前本身各种链上资产实际应用场景有限，跨链技术发展仍在初期。
3.三季度全市场交易量与BTC价格走势相关性仅为0.18，二季度该数字曾高达0.71。可见目前以情绪主导的交易市场在BTC表现良好的时候，交易量主要依靠BTC支撑，在BTC不及预期时，仍然能有其它币种的交易进行弥补，市场交易丰富度提高。
4.与2019年前两季度相比，第三季度各法币交易对表现差距较大，美元交易对交易量下跌，而其它三个法币交易量出现将近一倍的涨幅，总量最高的韩元达到983亿美元，进一步挑战高达1900亿美元交易量的美元交易对在市场中的绝对统治地位。
5.第三季度交易量TOP10的交易量占全市场的73%，但刷量情况不容小觑，在TokenInsight研究的交易所中近一半交易所虚假交易量达到50%以上。[2019/11/13]
跨链桥
随着区块链的发展，目前已经进入一个以太坊为核心多链并存的局面，链与链之间的资产转移、 智能合约的跨链交互已成为链上活动的日常，跨链桥作为区块链基础设施的地位越发凸显。根据 Dune Analytics 数据，截至 6 月 30 日以太坊中 15 个主要跨链桥的锁定总价值（TVL）约 83.9 亿美元。目前 TVL 最高的是 Polygon Bridges（35 亿美元），排名第二的是 Arbitrum Bridge（18.93 亿美 元），随后是 Avalanche Bridge（12.41 亿美元）。
（以太坊 15 个主要跨链桥的 TVL）
由于流动资金量大，去中心化程度低，权限几乎都掌握在多签钱包中等特性，跨链桥也成了黑客眼中的“香饽饽”。根据 SlowMist Hacked 统计，截至 6 月 30 日跨链桥安全事件共 7 起，损失高达 10.43 亿美元，占比 DeFi 上半年总损失的 64%，占比上半年总损失的 53%。值得注意的是上半年，损失金额上亿美元的事件 4 起中就有 3 起来自跨链桥。作为多链生态的重要基础设施，跨链桥一方面承担着巨量的资金流动，为用户带来了极大的便利，另一方面在安全性和去中心化水平上面临许多挑战，需要项目方提升安全、风控等能力。
（2022 上半年跨链桥安全事件）
交易平台
加密货币行业一直处在监管漩涡中，首当其冲的就是加密货币交易平台。交易平台发生的安全事故分析如下：以全球交易量最大的平台 Binance 为例，自 2021 年来，Binance 已遭到数十个国家和地区的监管警告，包括欧洲、美洲、 亚洲在内的多个地区。在全球强力监管信号下，Binance 陆续在西班牙、法国、阿布扎比、迪拜、意大利、巴林等国家或地区获得了监管许可并进行了注册，逐步推进其合规化进程。
在上半年，全球共发生 4 起交易平台安全事件，损失超 7770 万美元，具体如下：
1 月 9 日，LCX 技术团队在 LCX 交易平台上检测到一个未经授权的访问，总共约 794 万美 元的加密资产被盗。
1 月 17 日，Crypto.com 少数用户遭到未经授权提款，损失约 3400 万美元，包括 4,836.26 ETH、443.93 BTC 和约 66,200 美元的其他加密货币。
2 月 8 日，LockBit 勒索软件团伙称从加密货币交易平台 PayBito 窃取了大量客户数据。
2 月 12 日，来自美国南达科他州提供自主退休金账户的 IRA Financial Trust 对加密交易 平台 Gemini 提起诉讼，指控称由 Gemini 保管的属于客户退休账户的 3600 万美元加密资产被盗。
（2022 上半年交易平台攻击事件损失对比图）
慢雾安全团队建议各大交易平台健全内部管理与技术机制，通过引入安全审计机制、零信任机制、冷热资产安全解决方案等来加强对数字资产的安全保障。
其他
不法分子看中加密货币的匿名性，区块链已成为网络黑产的新风口，呈现出越来越明显的组织化与专业化趋势，“勒索”、“欺诈”及“盗窃”已成为加密货币巨大安全威胁。据中国人民银行支付结算司数据 ，2021 年涉诈款项的支付方式中，利用加密货币进行支付仅次于银行转账，排名第二位，高达 7.5 亿美元；而 2020 年、2019 年仅为 1.3、0.3 亿美元，逐年大幅增长的趋势明显。值得关注的是，加密货币转账在“杀猪盘”中增长迅速。2021 年“杀猪盘”资金中 1.39 亿美元使用加密货币支付，是 2020 年的 5 倍、2019 年的 25 倍。
攻击手法概览
以上 187 起安全事件中，攻击手法主要分为四类：由项目自身设计缺陷和各种合约漏洞引起的攻击；包含 Rug Pull、钓鱼攻击等手法的 Scam；由于私钥泄露引起的资产损失；前端恶意攻击，这四种主要攻击手法占比安全事件总数量的 95%。
（2022 上半年攻击手法数量对比图）
（2022 上半年攻击手法损失对比图）
总结
尽管 2022 年区块链技术正在飞速发展并且逐渐完善，但层出不穷的加密货币攻击事件对区块链生态安全态势提出了新的挑战。从统计数据来看，上半年发生安全事件次数较多的月份主要在 5、6 月；从各生态来看，BSC 上安全事件发生最多；从赛道来看，损失最多的是跨链桥。
（2022 上半年各月份各生态赛道事件分布）
对此慢雾安全团队建议：
对于机构和企业来说，最好能够建立全面的网络安全防护系统，防护从各个层次入侵的网络安全威胁，并通过威胁感知体系快捷获取病木马、钓鱼、网络安全预警、漏洞报告在内的安全情报，一旦发生安全威胁能够及时进行处理。
对于个人用户来说，遵守以下安全法则及原则，可以避免大部分风险：
两大安全法则：
零信任。简单来说就是保持怀疑，而且是始终保持怀疑。
持续验证。你要相信，你就必须有能力去验证你怀疑的点，并把这种能力养成习惯。
安全原则：
网络上的知识，凡事都参考至少两个来源的信息，彼此佐证，始终保持怀疑。
做好隔离，也就是鸡蛋不要放在一个篮子里。
对于存有重要资产的钱包，不做轻易更新，够用就好。
所见即所签。即你看到的内容就是你预期要签名的内容，当你签名发出去后，结果就应该 是你预期的，绝不是事后拍断大腿的。
重视系统安全更新，有安全更新就立即行动。
不乱下程序。
在此，十分推荐阅读并掌握 《区块链黑暗森林自救手册》（https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md）。
区块链发展道阻且长，期望随着行业的不断完善，区块链可以迸发出更大的力量，走向更大的舞台
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。