EOS:成都鏈安：9月典型安全事件超44起，整體風險評級“高”_DEF

據成都鏈安『安全態勢感知系統』數據監測顯示：2020年9月，在區塊鏈領域，多類型安全事件頻繁發生，整體形勢不容樂觀。根據不完全統計，本月出現的典型安全事件超過44起，相比上個月有所增加，成為今年歷史最高。典型安全事件統計

區塊鏈行業起步不久，技術發展整體處于探索階段。特別是，隨著DeFi的市場走紅，各種項目雨后春筍般崛起，技術底層、邏輯結構等諸多方面的鋪設相對薄弱，安全風險漏洞極易出現。因此，對于區塊鏈生態的每個環節而言，安全問題都必須放在首位，不容忽視。交易所方面共發生『6』起較典型的安全事件019月2日，首爾對韓國規模最大的加密貨幣交易所Bithumb進行搜查。該交易所被指控預售其價值300億韓元的BXA代幣，但從未將其上市，讓投資者遭受損失。02歐洲交易所ETERBASE于周一晚間被盜，涉及BTC、ETH/ERC-20、XRP、TRX、XTZ和ALGO相關的六個地址。該交易所沒有透露黑客攻擊造成的具體損失金額，但根據TheBlockResearch的統計，該交易所熱錢包損失超500萬美元。相關情況已報告給執法部門，該交易所正在密切配合調查。后續跟蹤資金轉移情況發現，目前大部分被盜資金在幣安等交易所。03日本加密貨幣交易所Fisco在美國法院提起了針對幣安的訴訟。Fisco聲稱，在2018年Zaif遭遇黑客入侵丟失6300萬美元的加密貨幣后，幣安為黑客洗錢提供了便利。04英國加密交易所Covesting發推稱，作為對庫幣安全漏洞的回應，以及保護受影響的COV代幣持有者，Covesting團隊已經凍結被舉報地址中的COV代幣。05斯洛伐克加密貨幣交易所Eterbase遭受黑客攻擊，共計有540萬美元的數字貨幣被盜。交易所稱，其六個熱錢包已被盜用，并且虹吸了比特幣，以太坊，Ripple，Algorand，Tezos和Tron的資金。06據庫幣官方公告，2020年9月26日凌晨03:05:37，官方發現了一次有計劃的黑客攻擊，根據目前的內部安全審計結果判斷，黑客通過獲取到庫幣早期熱錢包的備份鏡像發起提現攻擊，通過此次攻擊提走了部分熱錢包中的比特幣和ERC-20等代幣，價值約4800個比特幣，約占平臺總持有資金量的5%。

成都鏈安：國內天穹數藏宣稱遭黑客攻擊，黑客利用虛假余額購買盜取用戶的藏品:5月17日消息，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，天穹數藏宣稱遭黑客攻擊，藏品售價異常高達近千萬元。根據平臺公告稱：平臺數據遭遇大量惡意攻擊，黑客利用虛假余額購買盜取用戶的藏品，導致數據異常，目前已恢復，平臺已第一時間報警處理。成都鏈安安全團隊初步分析，導致本次攻擊的原因猜測為：攻擊者通過傳統網絡安全攻破了平臺方數據庫，惡意篡改賬戶余額，導致大量用戶高價掛單仍可成交，最終導致數據異常。成都鏈安安全團隊建議：

1、 國內數字藏品平臺方在設計、實現和部署的過程中，要關注通信與網絡安全、主機安全、數據庫安全、移動安全等傳統安全領域，做好安全防護；

2、 國內數字藏品平臺方在運維的過程中，要做好金融風控的設計和實施，避免出現大規模資金異動而不自知的情況；

3、 數字藏品消費者在選擇交易平臺時，需要關注平臺合規風險，注意保障自身財產安全；

4、 數字藏品消費者警惕炒作風險和市場泡沫，避免泡沫破裂時造成財產損失。[2022/5/17 3:22:51]

DeFi方面共發生『14』起較典型的安全事件01ZenGo的研究人員已正確披露了在Diogenes協議證明中發現的漏洞。該證明旨在為以太坊2.0隨機信標鏈的可驗證延遲函數提供原始熵。02以太坊賬戶疑遭遇GasPrice攻擊，損失115個ETH。該用戶從交易所提現115.299個ETH到以太坊賬戶，到賬后被莫名其妙迅速轉出到另一個賬號。蹊蹺的是對方實際只收到6.46個以太坊，而轉賬的Gas費用卻高達108.83個以太坊，約36萬人民幣。03SushiSwap仿盤YUNoFinance(YUNO)與KIMCHI.finance(KIMCHI)智能合約均存在漏洞。智能合約擁有者可以利用漏洞，無限制地增發項目對應的代幣數目，繼而導致通脹并最終崩潰。049月3日晚間，以太坊研發者PhilippeCastonguay發推稱，DeFi項目BaconSwap和shroom.finance均存在時間鎖定漏洞，將允許項目所有者在沒有時間鎖定的情況下無限增發代幣。05BlockstreamResearch團隊宣布已經開發出一種解決方案MuSig-DN，可用于保護MuSig多簽方案的用戶免遭由惡意隨機數生成器和虛擬機重置攻擊導致的密鑰泄露攻擊。06開發人員在SushiSwap中發現了主要的治理缺陷，SushiSwap似乎很容易受到漏洞的攻擊，這個漏洞可以在不需要獲得新代幣的情況下成倍增加某人的治理能力。07EOSDeFi流動性挖礦項目EMD合約emeraldmine1的大量質押資金被轉移。其中，USDT正在通過DeFibox幣幣交易等渠道進行轉賣。08YFI仿盤SoftYearn的一名用戶因rebase機制漏洞用200美元獲得了25萬美元的回報。09EOS生態DeFi流動性挖礦項目“珊瑚”的wRAM遭到黑客攻擊，損失逾12萬EOS。截至9月10日已經有4.6萬個EOS被轉移至ChangeNOW進行洗錢。109月14日，bZx官方發推特稱，已經對iToken合約代碼出現的漏洞進行修復，并且協議已恢復正常運行。11DeFi穩定幣協議Lien發布公告表示，團隊的審計人員發現一個LienApp中的漏洞，決定暫時維護平臺以防止漏洞被利用。129月23日消息，DeFiPulse周二晚在Twitter上表示，已識別漏洞并修復，并且已更正了歷史數據。139月23日消息，此前被爆漏洞的DeFi項目Soda協議已于近日宣布修復漏洞，且新部署的智能合約預計9月22日21點生效。截至到9月23日，Soda協議的SoETH/WETH資金池內尚有等值ETH的2156個SoETH。149月29日，根據bluekirbyfi推特消息，yearn.finance創始人AndreCronje剛推出的游戲項目Eminence遭遇“Flash貸款”攻擊，黑客將800萬美元的資金返還給了yearn部署者合約。

成都鏈安：2022年第1季度區塊鏈安全生態造成的損失達到12億美元:4月20日消息，成都鏈安統計數據顯示，加密行業2022年第1季度安全事件造成的損失達到12億美元。[2022/4/20 14:36:00]

Beosin評論本月DeFi項目安全問題頻繁暴露，技術代碼、業務邏輯等諸多方面對DeFi安全而言是不可忽視的漏洞多發地帶。成都鏈安再次呼吁各大項目方，在項目上線之前做好安全審計工作。同時，建議投資者注意查看安全審計報告，投資前謹慎選擇項目方。詐騙跑路/加密騙局方面共發生『3』起較典型安全事件019月26日，名為GemSwap的SushiSwap仿盤項目被曝跑路，LP被卷走。查詢發現，該項目曾發推自曝其遭受了“whatitdobb”開發者的攻擊。據了解，發起攻擊的開發者在流動性遷移完成之前就獲得了相關許可，能夠將流動池中的代幣取走，具體損失尚不明確。029月3日，德克薩斯州證券委員會(TSSB)專員TravisJ.Iles對兩起名為ForexBirds和PEKUniverse的加密騙局發出了緊急停牌令。他們被控欺詐發行與外匯(forex)和加密貨幣相關的證券。ForexBirds涉嫌向投資者承諾高達11%的收益，其存款最高可達100萬美元。03法國金融市場管理局發布了一份新的投資網站清單，這些網站沒有在該國境內運營的授權，其中包括所謂的數字資產服務提供商。據稱應用程序BitcoinFrance代表其客戶在加密貨幣市場進行交易，每天產生1000美元的收入，且沒有任何風險。很明顯，這些描述帶有投資欺詐的特征。

成都鏈安CMO：交易所需建設一套完整的資金內控系統:3月11日晚8點，成都鏈安CMO Adolfo Gao做客“抹茶周三見”時發表觀點：交易所需建設一套完整的資金內控系統，并對每筆資金的出入都應該做好審核和記錄。此外他還指出，關鍵私鑰和轉賬授權的防護也是重中之重。成都鏈安科技是最早專門從事區塊鏈安全的公司，由前海母基金，聯想創投，復星國際，分布式資本等知名企業和創投戰略投資，電子科技大學楊霞教授，郭文生教授，高子揚博士聯合創立。“抹茶周三見”是MXC抹茶推出的一檔AMA活動，不定期邀請重量級嘉賓在周三進行分享。[2020/3/11]

勒索軟件/挖礦木馬方面共發生『9』起較典型安全事件01騰訊安全威脅情報中心檢測到新型挖礦木馬家族MrbMiner，黑客通過SQLServer服務器弱口令爆破入侵，爆破成功后在目標系統釋放C#語言編寫的木馬assm.exe，進一步通過該木馬與C2服務器通信，然后下載門羅幣挖礦木馬并維持挖礦進程。02特斯拉創始人ElonMusk埃在一條推文中證實，俄羅斯男子EgorIgorevichKriuchkov用100萬美元比特幣賄賂內華達州特斯拉工廠一名員工，以便在特斯拉的計算機網絡上安裝勒索軟件。03阿根廷官方移民局DirecciónNacionaldeMigraciones遭遇Netwalker勒索軟件攻擊，暫時停止了出入該國的邊境。黑客要求贖金400萬美元。阿根廷政府拒絕與黑客談判，也不會支付贖金。04黑客向以色列納斯達克上市無線芯片和攝像頭傳感器制造商TowerSemiconductorLtd進行勒索軟件攻擊，并索要數十萬美元比特幣贖金。05智利三大銀行之一的BancoEstado銀行7日不得不關閉其全國性業務，原因是受到了REvil勒索軟件的網絡攻擊。據悉，REvil以拍賣在攻擊中竊取的數據而聞名，并經常要求使用Monero(XMR)支付贖金。06動視暴雪《使命召喚：戰區》的玩家抱怨帳戶被盜。在某些情況下，黑客要求進行比特幣支付以贖回游戲賬戶。黑客提供的地址迄今為止已收到1.2BTC。07巴基斯坦最大的電力生產商K-Electric遭遇勒索軟件攻擊，黑客索要約770萬美元的比特幣贖金。08數據中心和托管巨頭Equinix遭到了Netwalker勒索軟件攻擊，威脅參與者要求450萬美元購買一個解密器，以防止泄露被盜數據。099月13日消息，不久前，杭州市高新區一家民營企業向機關報案，稱有人惡意攻擊該公司官網，并勒索1個比特幣。接到報案后，偵查機關很快鎖定了犯罪嫌疑人鐘某。濱江區檢察院以破壞計算機信息系統罪對鐘某提起公訴，鐘某被法院判處有期徒刑五年零六個月。

動態 | 成都鏈安: 今日被盜巨鯨用戶可能遭到了持續性攻擊:金色財經消息，今日被曝被盜至少1500BTC和約6萬BCH的大戶可能早就被黑客選為攻擊目標，被盜地址1Edu4yBtfAKwGGsQSa45euTSAG6A2Zbone自2018年1月23日起共收到5423枚BTC，其中絕大數來自長期持有BTC占據大戶榜前50的地址1JsVdtXZHKnuzUihEjCPyRm5EEcxRjWGEh。2019年2月8日，用戶生成了一筆金額為1662.4的巨額utxo并在19年多次使用該筆資金拆出小額進行交易，我們猜測黑客可能通過該地址與1JsVdtXZHKnuzUihEjCPyRm5EEcxRjWGEh的資金聯系等確認了用戶的身份，黑客可能在19年就確定了目標并進行了持久化的社會工程學攻擊。攻擊者在攻擊得手后立刻開始了混幣和資金轉移，值得注意的是攻擊者用于拆分資金的兩個地址之一在19年頗為活躍，經成都鏈安AMl系統分析發現其中部分資金來自幣安等交易所，這些交易所可能有相關提幣記錄，成都鏈安正在跟蹤這一線索。[2020/2/22]

暗網方面共發生『2』起較典型安全事件019月2日消息，美國司法部于周二宣布暗網市場AlphaBay調解員BryanConnorHerrell被判處11年監禁，AlphaBay是一個可以通過Tor洋蔥路由器路由器進入的暗網違禁品市場。違法者使用加密貨幣如比特幣、門羅幣以太坊進行交易。02由美國司法部、和暗網聯合執法小組和歐洲刑警組織等多個組織共同執行的打擊暗網犯罪的行動中沒收超650萬美元現金和虛擬貨幣。其他方面共發生『10』起較典型安全事件01開發BitBox硬件錢包的瑞士公司ShiftCrypto透露，在Trezor和KeepKey硬件錢包中發現了一個漏洞，該漏洞允許攻擊者在不靠近設備的情況下持有用戶的加密貨幣以進行勒索。02瑞士硬件錢包提供商ShiftCrypto表示，Trezor和KeepKey硬件錢包中存在一個漏洞，可能會引發潛在的贖金攻擊。Trezor硬件錢包的制造商SatoshiLabs向ShiftCrypto支付了賞金，并表示在最近發布的升級中已經解決了這個問題。03風險投資家TimDraper此前聲稱購買BCH或為烏龍事件。9月5日凌晨TimDraper突發推特稱已購買BCH，并對RogerVer表示感謝。該條推文也引起了加密社區的關注。但OpenNode聯合創始人Jo?oAlmeida隨后證實，TimDraper推特賬戶已被泄露。049月9日早間，加密瀏覽器Brave官方發推宣布，已整合網絡安全公司PhishFort的開源解決方案，防止網絡釣魚攻擊。此后Brave將檢測加密騙局，并警告用戶有關的可疑域名。05目前有一個比特幣錢包成為了眾多黑客的攻擊對象，該錢包有69370枚BTC，價值7.14億美元。目前這個錢包還沒被人破解。069月16日，美國司法部、美國國土安全部和美國財政部外國資產控制辦公室宣布，已對兩名使用復雜的網絡釣魚活動從三個不同的加密貨幣交易所的客戶那里竊取至少1680萬美元的俄羅斯國民實施制裁。079月22日，加密衍生品交易所Deribit發推稱，凌晨遭遇DDOS攻擊，使得平臺服務器難以訪問。官方正在阻止攻擊。目前，DDOS攻擊已被阻止，官方已采取措施減少其他潛在問題。08閃電網絡大額通道wumbo存在漏洞，使攻擊者可以在幾乎不費力氣且零成本的情況下攻擊支付通道，或導致通道癱瘓兩周。09加密交易所Kraken的首席安全官NickPercoco宣布，已在Kraken上發布了四個新的安全增強功能，將從今天開始向該交易所的所有客戶開放。包括安全防護、安全檢查、設備批準和設備管理，其中“設備批準”功能將特別對抗網絡釣魚攻擊。109月25日，據外媒報道，一種名為Alien的新木馬病正在攻擊Android手機上的加密應用程序，被攻擊對象包括Coinbase、Blockchain.com和Luno。

聲音 | Beosin（成都鏈安）預警：某EOS競猜類游戲遭受攻擊 損失超1200枚EOS:根據成都鏈安區塊鏈安全態勢感知系統Beosin-Eagle Eye檢測發現，今日上午 8:53:15開始，黑客yunmen****對EOS競猜類游戲th****sgames發起攻擊。截止到現在，該黑客已經獲利超過1200枚EOS。Beosin建議游戲項目方應該加強項目運維工作，在收到安全公司的安全提醒之后第一時間排查項目安全性，才能及時止損，同時也呼吁項目開發者應該重視游戲邏輯嚴謹性及代碼安全性。Beosin提醒類似項目方全方面做好合約安全審計并加強風控策略，必要時可聯系第三方專業審計團隊，在上鏈前進行完善的代碼安全審計，防患于未然。[2019/4/3]

鑒于當前區塊鏈安全領域的新形勢，『成都鏈安』溫馨提示從總體上看，9月區塊鏈安全事件較8月份有所增加，整體安全事件發生數量較高。區塊鏈安全形勢依然嚴峻。本月DeFi項目仍是安全熱點話題，又有許多項目的智能合約被爆出漏洞，甚至一些已經被黑客攻擊利用，造成了損失。成都鏈安在此呼吁項目方，在進行合約代碼編寫時，一定要保持嚴謹的邏輯，在項目上線之前，尋找專業的安全公司做好安全審計工作。此外，本月發生的詐騙跑路事件較少，但是廣大用戶仍然不能放松警惕，在選擇項目的時候仍然需要保持謹慎，留心考察項目資質、安全審計報告等。

Tags：EOSDEFIDEFEFIeos幣還有希望嗎WDEFI價格DEFLAMetaegg DeFi

BNB