DOD:慢霧：2022 區塊鏈安全回顧_DISC

回顧過去的一年，我們看到加密領域出現了很多新場景，新應用和新變化。玩家也在逐漸增多，但是安全問題也一直困擾著行業的發展。因此，慢霧整理了2022年行業中出現的那些重大的安全時間，并進行了相應的分析和解讀。

根據慢霧區塊鏈被黑事件檔案庫統計，2022年安全事件共295件，損失高達37.28億美元。相比2021年的97.95億美元下降約62%，但這并不包括因市場動蕩而損失的資產。

其中各生態DeFi、跨鏈橋、NFT等安全事件245起，交易所安全事件10起，公鏈安全事件11起，錢包安全事件5起，其他類型安全事件24起。

從時間上來看，5月和10月攻擊事件數量最高，達到38件。3月損失金額最高，達到約7億美元。

一、區塊鏈生態安全概覽

公鏈

公鏈是Web3領域最重要的基礎設施，也是行業中競爭最激烈的賽道之一。而2022年最令人訝異的莫過于Terra事件了。5月8日，加密貨幣市場上出現了史上最具破壞性的一次崩盤。Terra網絡的算法穩定幣UST出現了2.85億美元的巨額拋售，引發了一系列連鎖反應。Terra的原生代幣?LUNA的價格突然毫無征兆的連續跳崖式暴跌，一天時間，Luna市值蒸發了近400億美元，全生態項目TVL也幾乎歸零。此次事件或許成為了開啟2022加密寒冬的死亡按鈕。

DeFi/跨鏈橋

據?DeFiLlama?數據顯示，截止12月底，DeFi總鎖倉價值約為398億美元，同比巨降75%。Ethereum以占比整個DeFiTVL的58.5%占據主導地位，緊隨其后的是TRON，TVL為43億美元，BNBChain(?BNB?)為42億美元。有趣的是，2022年5月，Ethereum的TVL在DeFi中的占比減少了35%?，而TRON的TVL占比增長了47%。

根據?SlowMistHacked?統計，2022年BNBChian上發生安全事件約90起，總損失金額約7.85億美元，居各鏈平臺損失金額第一位。而Ethereum上發生安全事件約50起，總損失金額約5.28億美元，其次是Solana上發生安全事件約11起，總損失金額約1.96億美元。

慢霧：過去一周加密領域因安全事件累計損失3060萬美元:7月24日消息，據慢霧統計，上周加密領域因遭遇攻擊累計損失3060萬美元，攻擊者利用了不同的攻擊向量。這些事件包括Alphapo熱錢包被盜（損失2300萬美元）、Conic Finance遭閃電貸攻擊（損失30萬美元）以及重入攻擊（損失320萬美元）、GMETA發生RugPull（損失360萬美元）、BNO遭閃電貸攻擊（損失50萬美元）等。[2023/7/24 15:55:56]

據DuneAnalytics的數據，以太坊跨鏈橋的鎖定總價值約83.9億美元，對比上半年降低了約31%。目前TVL最高的是PolygonBridges，排名第二的是ArbitrumBridges，隨后是OptimismBridges。跨鏈橋允許用戶將加密資產從一條鏈轉移到另一條鏈，主要解決多鏈擴展問題。然而，跨鏈橋智能合約中的大量資金加上缺少安全審計，引來了黑客的目光。

根據?SlowMistHacked?統計，2022年跨鏈橋安全事件共15起，損失高達12.1億美元，占比2022年總損失的32.45%。

總而言之，對項目方來說，想要盡可能的消除漏洞、降低安全風險，就必須做出有效的努力——在項目上線之前，對其進行全面深入的安全審計。同時，建議各項目方通過引入多簽機制來加大資產保護的力度。另一方面，各項目在進行協議間交互或移植其他協議的代碼時，需充分了解移植協議的架構以及自己項目的架構設計，做好協議之間的兼容性，防止資金損失情況的發生。對用戶來說，隨著區塊鏈領域的玩法愈發多樣化，用戶在進行投資前認真了解項目背景，查看該項目是否有開源、是否經過審計，在參與項目時需要提高警惕，注意項目風險。

NFT

NFT在2022年表現極為搶眼，據?NFTScan?數據顯示，在以太坊上的NFT全年交易次數達1.98億次，明顯高于2020年和2021年。而在BNBChain上的NFT全年交易次數達3.45億次，在Polygon上的NFT全年交易次數達7.93億次。

另一方面，根據?SlowMistHacked?不完全統計，2022年NFT賽道安全事件約56起，損失超6543萬美元，其中大部分是由釣魚攻擊導致，占比約為40%，其次是RugPull，占比約為21%。

慢霧：DOD合約中的BUSD代幣被非預期取出，主要是DOD低價情況下與合約鎖定的BUSD將產生套利空間:據慢霧區情報，2022 年 3 月 10 日, BSC 鏈上的 DOD 項目中鎖定的 BUSD 代幣被非預期的取出。慢霧安全團隊進行分析原因如下：

1. DOD 項目使用了一種特定的鎖倉機制，當 DOD 合約中 BUSD 數量大于 99,999,000 或 DOD 銷毀數量超過 99,999,000,000,000 或 DOD 總供應量低于 1,000,000,000 時將觸發 DOD 合約解鎖，若不滿足以上條件，DOD 合約也將在五年后自動解鎖。DOD 合約解鎖后的情況下，用戶向 DOD 合約中轉入指定數量的 DOD 代幣后將獲取該數量 1/10 的 BUSD 代幣，即轉入的 DOD 代幣數量越多獲得的 BUSD 也越多。

2. 但由于 DOD 代幣價格較低，惡意用戶使用了 2.8 個 BNB 即兌換出 99,990,000 個 DOD。

3. 隨后從各個池子中閃電貸借出大量的 BUSD 轉入 DOD 合約中，以滿足合約中 BUSD 數量大于 99,999,000 的解鎖條件。

4. 之后只需要調用 DOD 合約中的 swap 函數，將持有的 DOD 代幣轉入 DOD 合約中，既可取出 1/10 轉入數量的 BUSD 代幣。

5. 因此 DOD 合約中的 BUSD 代幣被非預期的取出。

本次 DOD 合約中的 BUSD 代幣被非預期取出的主要原因在于項目方并未考慮到 DOD 低價情況下與合約中鎖定的 BUSD 將產生套利空間。慢霧安全團隊建議在進行經濟模型設計時應充分考慮各方面因素帶來的影響。[2022/3/10 13:48:45]

錢包/交易平臺

2月8日，美國司法部發布公告稱，已經查獲了價值36億美元的比特幣，這些比特幣與2016年加密貨幣交易所Bitfinex的黑客事件有關。34歲的IlyaLichtenstein和其31歲的妻子HeatherMorgan在紐約被捕，兩人被指控共謀洗錢和詐騙罪。這也是美國司法部有史以來最大規模的金融扣押。

11月6日，幣安創始人CZ發推稱決定清算賬面上所有剩余的FTT，由此引發兩大交易所之間的對峙。盡管AlamedaCEO和FTXCEOSBF接連發推試圖穩固用戶信心并辟謠此前曝光的消息，但還是引發FTX在流動性枯竭后迅速破產。最終，FTX暴雷，SBF被捕。中心化交易所的不透明再度引發人們的信任危機，缺乏審慎監管的問題越發凸顯。無論是對消費者更嚴格的保護，還是對機構更明確的規則，監管的腳步都將愈發清晰。

慢霧：Multichain(AnySwap)被黑由于anySwapOutUnderlyingWithPermit函數相關問題:據Multichain(AnySwap)早前消息，2022年01月18日，一個影響6個跨鏈Token的關鍵漏洞正在被利用。慢霧安全團隊進行分析后表示，此次主要是由于anySwapOutUnderlyingWithPermit函數為檢查用戶傳入的Token的合法性，且未考慮并非所有underlying代幣都有實現permit函數，導致用戶資產被未授權轉出。慢霧安全團隊建議：應對用戶傳入的參數是否符合預期進行檢查，且在與其他合約進行對接時應考慮好兼容性問題。[2022/1/19 8:57:49]

在FTX暴雷后，硬件錢包的銷量大幅增長，用戶量最多的錢包MetaMask月活用戶達3000萬。根據?Finbold?數據顯示，基于排名前21個加密貨幣存儲APP應用，在2022年1月至2022年10月期間，Android和iOS設備上的加密錢包下載量已經達到約1.0206億次。雖然這個數字低于2021年牛市期間的1.7785億次下載量，但比除2021年之外的任何一年都高。按月細分數據顯示，加密錢包下載量年初呈下降趨勢，但在Terra/Luna崩潰以及FTX暴雷后均出現較大幅度增長。

其他

區塊鏈技術不可逆、匿名性特征在有效保護隱私的同時，也為網絡犯罪提供了“保護傘”。隨著元宇宙、NFT等概念受到熱捧，加密貨幣盜竊事件、欺詐事件時有發生，很多不法分子打著區塊鏈旗號發行所謂的虛擬資產，實施詐騙，黑灰產的先進與專業度已經遠超想象。

據中國人民銀行支付結算司數據，2021年涉詐款項的支付方式中，利用加密貨幣進行支付僅次于銀行轉賬，排名第二位，高達7.5億美元；而2020年、2019年僅為1.3、0.3億美元，逐年大幅增長的趨勢明顯。值得關注的是，加密貨幣轉賬在“殺豬盤”詐騙中增長迅速。2021年“殺豬盤”詐騙資金中1.39億美元使用加密貨幣支付，是2020年的5倍、2019年的25倍。

根據美國聯邦貿易委員會(FTC)發布的一份報告，在自2021年年初以來的一年多時間里，已有超過4.6萬人報告自己遭遇了加密貨幣騙局，損失總額超過10億美元。根據報告，最常見的加密貨幣騙局類型是投資相關欺詐，在總金額10億美元中占5.75億美元，最常向詐騙者支付的加密貨幣包括BTC、USDT和ETH。

動態 | 慢霧：2020年加密貨幣勒索蠕蟲已勒索到 8 筆比特幣:慢霧科技反洗錢(AML)系統監測：世界最早的知名加密貨幣勒索蠕蟲 WannaCry 還在網絡空間中茍延殘喘，通過對其三個傳播版本的行為分析，其中兩個最后一次勒索收到的比特幣分別是 2019-04-22 0.0584 枚，2019-09-01 0.03011781 枚，且 2019 年僅發生一次，另外一個 2020 還在活躍，2020 開始已經勒索收到 8 筆比特幣支付，但額度都很低 0.0001-0.0002 枚之間。這三個傳播版本第一次發生的比特幣收益都是在 2017-05-12，總收益比特幣 54.43334953 枚。雖然收益很少，但 WannaCry 可以被認為是加密貨幣歷史上勒索作惡的鼻主蠕蟲，其傳播核心是 2017-04-13 NSA 方程式組織被 ShdowBrokers(影子經紀人) 泄露第三批網絡軍火里的“永恒之藍”(EternalBlue)漏洞，其成功的全球影響力且匿名性為之后的一系列勒索蠕蟲（如 GandCrab）帶來了巨大促進。[2020/2/23]

二、攻擊手法

295起安全事件中，攻擊手法主要分為三類：由項目自身設計缺陷和各種合約漏洞引起的攻擊；包含RugPull、釣魚、Scam類型的手法；由私鑰泄露引起的資產損失。

2022年最常見的攻擊手法是由項目自身設計缺陷和各種合約漏洞引起，約92起，造成損失10.6億美元，占總數量的40.5%。其中較為主要的是利用閃電貸引起的攻擊，約19起，造成損失6133萬美元，其他包括重入問題、價格操縱、驗證問題等等。

因私鑰被盜引起的資產損失發生率約為6%，損失金額卻達到7.46億美元，僅次于合約漏洞利用，因私鑰被盜的事件中，損失最大的來自Ronin事件，其次是Harmony，都是來自跨鏈橋。

在Web3世界，用戶的安全意識往往是參差不齊，這也導致了針對用戶的釣魚攻擊花樣多多且頻繁發生。例如，攻擊者利用惡意手段將各項目的官方媒體平臺占為己有或者偽造官方媒體號并發布釣魚Mint、AirDrop鏈接，還時不時轉發真正的官方號內容來混肴視聽。例如，利用搜索引擎上的廣告宣傳虛假網站或者與官方域名高度相似的域名及內容來以假亂真；例如通過偽造的郵件、吸引人的贈品活動來引你入局；又例如利用新用戶信息差提供假APP下載鏈接。無論如何，提高安全意識才是最必要的，同時，一旦發現自己中招，第一時間轉移資產，及時止損并保留證據，必要時尋求業內安全機構的幫助。

動態 | 慢霧：巨鯨被盜2.6億元資產，或因Blockchain.info安全體系存在缺陷:針對加密巨鯨賬戶（zhoujianfu）被盜價值2.6億元的BTC和BCH，慢霧安全團隊目前得到的推測如下：該大戶私鑰自己可以控制，他在Reddit上發了BTC簽名，已驗證是對的，且猜測是使用了一款很知名的去中心化錢包服務，而且這種去中心化錢包居然還需要SIM卡認證，也就是說有用戶系統，可以開啟基于SIM卡的短信雙因素認證，猜測可能是Blockchain.info，因為它吻合這些特征，且歷史上慢霧安全團隊就收到幾起Blockchain.info用戶被盜幣的威脅情報，Blockchain.info的安全體系做得并不足夠好。目前慢霧正在積極跟進更多細節，包括與該大戶直接聯系以及盡力提供可能需求的幫助。[2020/2/22]

其次，最令人憎惡的則是RugPull。RugPull通常指項目的開發者放棄項目，帶著資金逃跑，更多是項目方主動作惡。它可以以多種方式發生：比如當開發者啟動初始流動性，推高價格，然后撤回流動性項目方先創建一個加密項目，通過各種營銷手段吸引加密用戶投資，并在合適的時機毫無征兆地卷走用戶投資的資金，拋售加密資產，最終銷聲匿跡，投資該項目的用戶也將蒙受巨大損失。再比如推出一個網站，但在吸引了數十萬存款后關閉。2022年RugPull事件達到50起，損失約1.88億美元，常發生于BSC生態及NFT領域。

2022年其他較為新型的手法為前端惡意攻擊、DNS攻擊以及BGP劫持；最為奇葩的則是人為配置操作失誤導致的資產損失。

三、釣魚/騙局手法

此節只選取部分SlowMist曾披露過的釣魚/騙局手法。

瀏覽器惡意書簽盜取DiscordToken

現在的瀏覽器都有自帶的書簽管理器，在提供便利的同時卻也容易被攻擊者利用。通過精心構造惡意的釣魚頁面可以讓你收藏的書簽中插入一段JavaScript代碼，有了這個幾乎可以做任何事情，包括通過Discord封裝好的webpackChunkdiscord_app前端包進行信息獲取。當Discord用戶點擊時，惡意JavaScript代碼就會在用戶所在的Discord域內執行，盜取DiscordToken，攻擊者獲得項目方的DiscordToken后就可以直接自動化接管項目方的Discord賬戶相關權限。攻擊者拿到了Token等同于登錄了Discord賬號，可以做登錄Discord的任何同等操作，比如建立一個Discordwebhook機器人，在頻道里發布公告等虛假消息進行釣魚。下面是演示受害者點擊了釣魚的書簽：

下面是演示攻擊者編寫的JavaScript代碼獲取Token等個人信息后，通過DiscordServer的webhook接收到。

可以看到，在用戶登錄Web端Discord的前提下，假設受害者在釣魚頁面的指引下添加了惡意書簽，在Discord?Web端登錄時，點擊了該書簽，觸發惡意代碼，受害者的Token等個人信息便會通過攻擊者設置好的Discordwebhook發送到攻擊者的頻道上。

“零元購”NFT釣魚

例如下圖釣魚網站，簽名內容為

Maker：用戶地址

Taker：0xde6135b63decc47d5a5d47834a7dd241fe61945a

Exchange：0x7f268357A8c2552623316e2562D90e642bB538E5

這是一種較為常見的NFT釣魚方式，即騙子能夠以0ETH購買你所有授權的NFT。也就是說，這是欺騙用戶簽名NFT的銷售訂單，NFT是由用戶持有的，一旦用戶簽名了此訂單，騙子就可以直接通過OpenSea購買用戶的NFT，但是購買的價格由騙子決定，也就是說騙子不花費任何資金就能“買”走用戶的NFT。

此外，簽名本身是為攻擊者存儲的，不能通過Revoke.Cash或Etherscan等網站取消授權來廢棄簽名的有效性，但可以取消你之前的掛單授權，這樣也能從根源上避免這種釣魚風險。

RedlineStealer木馬盜幣

這種攻擊主要是通過Discord邀請用戶參與新的游戲項目內測，打著“給予優惠”等幌子，或是通過群內私聊等方式發一個程序讓你下載，一般是發送壓縮包，解壓出來是一個大概800M左右的exe文件，一旦你在電腦上運行，它會掃描你電腦上的文件，然后過濾包含Wallet等關鍵詞的文件上傳到攻擊者服務器，達到盜取加密貨幣的目的。

RedLineStealer是一種惡意木馬軟件，2020年3月被發現，在地下論壇上單獨出售。該惡意軟件從瀏覽器中收集保存的憑據、自動完成數據和信用卡等信息。在目標機器上運行時，會搜集如用戶名、位置數據、硬件配置和已安裝的安全軟件等詳細信息。新版本的RedLine增加了竊取加密貨幣的能力，能夠自動掃描本地計算機已安裝的數字貨幣錢包信息，并上傳到遠端控制機。該惡意軟件具有上傳和下載文件、執行命令以及定期發回有關受感染計算機的信息的能力。常常針對加密貨幣錢包目錄、錢包文件進行掃描：

空白支票eth_sign釣魚

連接錢包后并點擊Claim后，彈出一個簽名申請框，同時MetaMask顯示了一個紅色提醒警告，而光從這個彈窗上無法辨別要求簽名的到底是什么內容。其實這是一種非常危險的簽名類型，基本上就是以太坊的“空白支票”。通過這個釣魚，騙子可以使用您的私鑰簽署任何交易。

這種eth_sign方法可以對任意哈希進行簽名，那么自然可以對我們簽名后的bytes32數據進行簽名。因此攻擊者只需要在我們連接DApp后獲取我們的地址對我們賬戶進行分析查詢，即可構造出任意數據讓我們通過eth_sign進行簽名。

除此之外，還有一種釣魚：在你拒絕上述的sign后，它會在你的MetaMask自動顯示另一個簽名框，趁你沒注意就騙到你的簽名。而看看簽名內容，使用了SetApprovalForAll方法，同時Approvedasset的目標顯示為AllofyourNFT，也就是說，一旦你簽名，騙子就可以毫無節制地盜走你的所有NFT。

這種釣魚方式對用戶會有很強的迷惑性，以往我們碰到的授權類釣魚在MetaMask會給我直觀的展示出攻擊者所要我們簽名的數據。而當攻擊者使用eth_sign方法讓用戶簽名時，MetaMask展示的只是一串bytes32的哈希。

尾號相同+TransferFrom零轉賬騙局

用戶的地址轉賬記錄中不斷出現陌生地址轉賬0USDT，而這筆交易均是通過調用TransferFrom函數完成的。究其原因主要是代幣合約的TransferFrom函數未強制要求授權轉賬數額必須大于0，因此可以從任意用戶賬戶向未授權的賬戶發起轉賬0的交易而不會失敗。惡意攻擊者利用此條件不斷地對鏈上活躍用戶發起TransferFrom操作，以觸發轉賬事件。

除了0USDT轉賬騷擾，還伴隨著攻擊者針對交易規模較大頻率較高的用戶不斷空投小額數量的Token，攻擊者地址尾數和用戶地址尾數幾乎一樣，通常為后幾位，用戶去復制歷史轉賬記錄中的地址時一不小心就復制錯，導致資產損失。

以上只是舉例了一些常見的攻擊手法和場景，實際上道高一尺魔高一丈，黑客的攻擊手法永遠都在推陳出新，我們能做的就是不斷提高自己的見識。

對于個人用戶來說，遵守以下安全法則及原則，可以避免大部分風險：

兩大安全法則：

零信任。簡單來說就是保持懷疑，而且是始終保持懷疑。

持續驗證。你要相信，你就必須有能力去驗證你懷疑的點，并把這種能力養成習慣。

安全原則：

網絡上的知識，凡事都參考至少兩個來源的信息，彼此佐證，始終保持懷疑。

做好隔離，也就是雞蛋不要放在一個籃子里。

對于存有重要資產的錢包，不做輕易更新，夠用就好。所見即所簽。即你看到的內容就是你預期要簽名的內容，當你簽名發出去后，結果就應該是你預期的，絕不是事后拍斷大腿的。

重視系統安全更新，有安全更新就立即行動。

不亂下程序。

Tags：DODNFT加密貨幣DISCDODBNFT2$價格加密貨幣是什么意思啊Disciplina

狗狗幣