北京时间12月14日晚5点40分，CertiKSkynet天网监控发现一笔来自NexusMutual创始者HughKarp账户的巨额交易，该交易转移共37万NXM代币到不明账户中。
CertiK安全验证团队迅速展开调查分析，认为该次交易是针对HughKarp账户的黑客攻击。
顺便给大家计算了一下
37万NXM=833万美金
去中心化保险项目INS3完成代币ITFX的跨链升级:据官方消息，去中心化保险项目INS3完成代币IFTX的跨链升级，同时发布全新UI。新版本已于17:00正式上线。用户可以将ITF进行1:1兑换成ITFX，ITFX即可在Conflux、BSC、Heco、OEC、Polygon五链进行跨链转换。
INS3是无审核，无人工干预，自动化赔付的去中心化保险项目，为客户提供安全、可信、高效、便捷的去中心化保险服务。[2021/10/14 20:29:07]
事件经过
整个攻击流程如下：
攻击者账户地址为：0x09923e35f19687a524bbca7d42b92b6748534f25
Conflux和Heco同步上线首个原创保险项目，Ins3推出首个“中心化交易所CDS保险”:据 Ins3官方消息，计划于最近正式推出：首个“中心化交易所CDS保险”，保障用户在okex、币安、火币等中心化交易所的资产安全。
Ins3团队解释称，如中心化交易所出现连续30天交易所无法读取行情、资产，执行提币或者连续180天无法执行提币的情况，则Ins3赔付用户本金损失。相较于NXM和Yinsure，Ins3团队自主研发资本模型，投资模型，保险精算定价等模型使其在去中心化程度和保险范围上有了重大升级。用户可以使用 Ins3 获得独立于交易所的第三方保险。[2021/1/29 14:21:22]
部分攻击获得代币已经通过交易
YFI创始人保险项目yinsure.finance已上线，首批支持Aave等6个项目:8月31日消息，YFI创始人AC保险项目yinsure.finance已上线，首批支持项目为Aave、Balancer、Compound、Curve、Synthetix，以及YFI。
据悉，yinsure.finance产品将包含三个核心部分：承保金库（Insurer Vaults）、投保金库（Insured Vaults）和索赔治理（Claim Governance）。承保金库的保险服务是由LP提供的，但是可以获得相关的费用作为收入。首个上线的承保金库是USDC，首个提供的投保金库是yVault中的yUSD（包裹的yCRV）资产。
该产品涵盖Balancer、Compound、Curve、Synthetix和yearn.finance的保险合约部署，无需KYC/AML。以NFT（基于ERC721）的形式将保险单代币化。承保人是Nexus Mutual。yinsure.finance正在针对这些产品完成测试和实际演练，然后将面向有限的用户开放。
yearn创始人表示，保险单代币化意味着可以由一般市场进行风险调整。这也意味着分销商可以在二级市场上购买和转售，同时允许将来有其他基于保险的衍生产品。[2020/8/31]
0xfe2910c24e7bab5c96015fb1090aa52b4c0f80c5b5c685e4da1b85c5f648558a在1inch.exchange进行交易。
动态 | “顶梁柱健康扶贫公益保险项目”利用区块链技术打造公共账簿:据新华网消息，截至2019年10月底，由中国扶贫基金会、阿里巴巴、蚂蚁金服、支付宝共同发起的“顶梁柱健康扶贫公益保险项目”，已签约湖北、云南、四川、新疆等12省份79县，项目投入资金规模22995.04万元，为789.15万人次建档立卡贫困户中的主要劳动力提供健康保障。项目有关负责人在活动现场介绍，通过引入区块链技术，打造“顶梁柱”公益保险项目“公共账簿”，让捐款人、公益机构、保险公司、受保人在内的项目参与方共同“记账”和监督，任何一方都无法篡改，从而使捐赠款项、覆盖县域、理赔情况等信息及时准确公布。[2019/11/5]
攻击交易地址：
0x4ddcc21c6de13b3cf472c8d4cdafd80593e0fc286c67ea144a76dbeddb7f3629
图一：攻击交易细节截图
根据官方披露细节,攻击者通过获得HughKarp个人计算机的远程控制后，对计算机上使用的Metamask插件进行修改,并误导其签署图一中的交易——这笔交易最终将巨额代币转移到攻击者的账户中。
CertiK团队根据目前已有信息，推测Hugh在日常使用Metamask时，被攻击者修改后的插件生成了这笔巨额代币的转账请求，随后Hugh使用他的硬件钱包签名了这笔交易。
作为一个应用，浏览器插件和普通网站的前端组成是相似的，它们都由HTML和JavsScript搭建而成。浏览器插件的代码会存在用户的电脑中。关于黑客是如何修改的Metamask插件的,因此CertiK团队做出以下猜测:1.黑客在获得了在HughKarp的个人电脑的控制权后，通过远程桌面打开浏览器，直接安装了修改过后的Metamask插件。2.黑客在HughKarp的个人电脑上找到了Metamask插件的安装路径,对其中代码进行了修改,在修改完成后，将修改后的插件加载到浏览器中。3.黑客利用浏览器自带的的命令行工具,修改浏览器安装的插件。
官方披露的细节中提到了HughKarp使用的是硬件钱包,但并未说明是哪款硬件钱包。应是Trezor或者Ledger之一，因为Metamask只支持以上两个硬件钱包。在使用硬件钱包的情况下，Metamask中的交易需要在硬件钱包中进行确认并使用存在硬件钱包中的私钥签名。目前上面两款硬件钱包在硬件的确认交易时，硬件屏幕上都会显示转账接受地址，以供使用者进行最终确认。此次攻击中，黑客应该无法修改硬件屏幕中交易确认界面显示的地址，由此推测HughKarp在硬件钱包上进行最终确认时，并未留意到交易的对象是黑客的地址。
图二：Ledger确认交易时的屏幕显示
来源:?https://www.youtube.com/watch?v=9_rHPBQdQCw
安全建议
区块链保险平台创始人账号被攻击，更是说明了保险的重要性。
高密度爆发的黑客事件是一个警示。
在区块链的网络世界中无论你是什么人，拥有怎样的角色身份，黑客不会因为你的侥幸心理就绕过你，安全事故造成的损失可能会发生在每个人身上。
而且就算使用硬件钱包，人也不可能一辈子百分之一百不犯错误。
CertiK前些时间发布的系列文章精确的阐述了保险的不可或缺性。
CertiK安全验证团队根据此次攻击，提出如下安全建议：
1.任何安全系统和操作环境不仅需要程序安全验证，更加需要专业的渗透测试来对整体产品安全进行验证。
2.为了确保数字资产不因任何非技术原因遭受损失，项目方应及时为项目产品购买保险，增加项目方和投资者的安全保障方案，确保其因受到攻击所造成的损失可以被及时补偿。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。