ANC:凡是過去，皆為序章，2021年區塊鏈安全事件年度總結_去中心化金融defi是干什么的

2021年對于區塊鏈來說是一個巨大的里程碑，無論是對于用戶量還是對于機構接受程度。鏈資產比重都遠超歷史上的任何其他時期。

與此同時，興起了許多多元化的事物如號稱終極未來的元宇宙、邊玩邊賺的GameFi以及鏈鏈互信的跨鏈等。而各類傳統DefiDapp也加速了步伐迎來了全新的升級，如UniswapV3,AaveV3等新版協議問世。

種種這些，不僅為區塊鏈生態帶來了活力，同時也帶來了全新的安全挑戰。現在請跟隨知道創宇區塊鏈安全實驗室的視角一起回顧2021區塊鏈安全生態以及各月份的典型安全事件。

2021區塊鏈安全生態速覽

據知道創宇區塊鏈實驗室不完全統計數據，截止本文發稿前，2021年區塊鏈可供查詢的相關安全事件為312起，直接損失超100億美元。

對比往年數據來說依然是一個令人心悸的走高態勢。蓬勃發展的多鏈系統，鏈鏈互信的跨鏈需求，新鏈上的花式仿盤，都為這一龐大的數字做出了相應的"貢獻"。

在安全事件方面我們使用了6個緯度來進行統計，分別是交易所、DeFi、跑路/騙局、錢包、公鏈、其他。其中以DeFi安全尤為突出達到了141起。

該原因主要在于區塊鏈底層技術愈加趨向成熟，但合約實現規范還沒有充分完備化和體系化，審計還沒有被足夠的落實。尤其合約具備著直接擔當著資金載體和運行邏輯的功能，這使得越來越多黑客將目標瞄向該領域。

另一方面，攻擊者利用閃電貸和鏈上監控愈發成熟。使得攻擊面得以被充分暴露，同時各個項目方對于協議的實現也存在著巨大的差異，這些種種，無疑皆助長了該攻擊的廣泛性和頻繁性。

沉寂超8年的比特幣地址被激活并轉移了100枚BTC:金色財經報道，數據顯示，北京時間3月30日13時45分，一個沉寂長達8年的比特幣地址被激活，共有100枚BTC轉移至新地址(bc1qyq6s5hmn9jqqz8pyqzw68lxf9ukf5g6zpvzgwk0lglahyp4g4cfspvzfdg)。[2023/3/30 13:34:58]

在資金損失方面則是跑路/騙局尤為嚴重，損失總計超64億美元。相較于DeFi安全事件的多發性來說，跑路/騙局對人們造成的經濟損失更加明顯。

跑路的方式由于Owner權限過大、合約可升級、DAO比例操控等等難以避免。同時由于區塊鏈的不可追溯性導致該行為風險變得非常的低，甚至有項目方直接在群組公開宣告自己跑路的行徑，導致大量用戶失去信心。

無論是交易所清退詐騙、鏈上蜜罐、假錢包、轉賬釣魚，花樣眾多的攻擊方式也為鏈安全帶來了新的挑戰。當然，這不僅僅應該完全依賴安全公司，更多的還應該寄希望于群體安全意識提升的落地。

2021各月份典型安全事件回顧

Ⅰ：挑戰伊始

關鍵詞：權限控制，手續費

安全月度風險評估：低

月度評價：新年伊始，但不應該是新漏洞的開始

Ⅱ：風雨初現

關鍵詞：閃電貸，無限授權

安全月度風險評估：中

月度評價：同類型漏洞相繼爆發，需做好安全預警

Ⅲ：花式危險

關鍵詞：雙花交易，錯誤鑄幣，權限控制

DeFi借貸協議Euler部署至BNB Chain的提案已投票通過:2月8日消息，DeFi借貸協議Euler Finance社區已投票通過將項目部署至BNB Chain的提案。該提案由AdamBNB代表BNB Chain基金會提交，83.05%的投票者支持該提案。[2023/2/8 11:54:26]

安全月度風險評估：高

月度評價：漏洞類型花樣百出，但核心都是資金安全

Ⅳ：經典重現

關鍵詞：重入攻擊，協議兼容性

安全月度風險評估：低

月度評價：經典漏洞以全新方式體現，說明安全理念并不會停滯，需要時刻進步

1月27日，SushiSwap因收取手續費的函數存在權限控制缺陷，被黑客利用操控了DIGG/WETH交易對的滑點，從而套取了WBTC/DIGG交易對的手續費。

YearnFinance被攻擊，黑客利用閃電貸操控3pool代幣平衡，并通過yDai保險庫放大差異，獲利280萬美元，而保險庫損失超1100萬美元。

以太坊協議組合工具Furucombo智能合約被爆出存在請求授權權限過高問題，黑客可通過向Furucombo代理添加攻擊合約，從而獲得影響用戶賬戶的權限，該漏洞影響超1400萬美元。

去中心化交易所DODO因未對init進行權限控制，導致黑客在進行閃電貸歸還操作時通過init函數將需要歸還的代幣修改為自己提前加入pool的垃圾代幣，從而規避校驗以次充好，損失超200萬美元。

PaidNetwork鑄幣功能存在漏洞，被利用鑄造超6000萬枚PAID代幣。

香港證監會：香港基金經理不會因接觸FTX而面臨風險:金色財經報道，香港證券及期貨事務監察委員會(SFC)表示，香港基金經理不會因接觸FTX而面臨風險。

SFC發言人今日表示，香港證券及期貨事務監察委員會已向持有虛擬資產敞口的持牌基金經理進行了查詢，并認為對FTX、FTT和相關實體的敞口（如果有的話）風險并不高，但FTX的影響可能會影響其他Token和虛擬資產生態的其他部分，我們將持續關注。

該發言人補充道，FTX沒有在香港證券及期貨事務監察委員會注冊，只有完成注冊的機構才能作為數字資產交易平臺在香港運營。雖然FTX成立于香港，并保留了在香港的公司注冊地，但其總部已于2021年9月遷至巴哈馬。（南華早報）[2022/11/15 13:05:16]

Filecoin由于節點特性出現“雙花交易”漏洞。

Uniswap上的imBTC池遭到黑客攻擊，漏洞原因是Uniswap與ERC777協議出現兼容性問題，當交易產生時，ERC777中的迭代調用tokensToSend可以被用來實現重入攻擊，損失超30萬美元。

Ⅴ：八方風雨

關鍵詞：重入攻擊，協議沖突，滑點，閃電貸

安全月度風險評估：高

月度評價：本月是閃電貸攻擊多發月份，造成的損害也及其重大，所以必須不放過任意可能存在漏洞的細節，避免無法挽回的結果。

Ⅵ：風雨依舊

關鍵詞：薅羊毛，錯誤變量，address(this)，閃電貸

安全月度風險評估：中高

月度評價：本月閃電貸攻擊依然多發，其提醒著控制變量值得反復審計。

比特幣上市礦企Riot Blockchain正在起訴加密托管公司Northern Data:金色財經報道，比特幣上市礦企Riot Blockchain (RIOT) 正在起訴托管公司Northern Data (NB2X:GER)，指控其違約和未披露重要信息。該訴訟涉及德克薩斯Whinstone 比特幣礦，該礦預計將成為世界上最大的電力產能之一，Riot 去年以6.51億美元（8000萬美元現金和1180萬股 Riot 股票）從Northern Data收購了該礦。在9 月7日向特拉華州法院提起的訴訟中，Riot 聲稱德國的 Northern Data 未能向第三方披露 8400 萬美元的債務，Riot還表示，Northern Data繼續拖延談判，并延遲支付其欠Riot的近1.14億美元。[2022/9/22 7:12:27]

Ⅶ：邏輯理性

關鍵詞：私鑰，雙花攻擊，tx.origin，邏輯漏洞

安全月度風險評估：中高

月度評價：本月存在各類型的邏輯漏洞，涉及私鑰、轉賬已經功能特性等，需做更全面的考慮。

Ⅷ：危險之最

關鍵詞：年度損失之最，重入攻擊，同類型協議攻擊，閃電貸

安全月度風險評估：高

月度評價：本月各類攻擊損失都十分巨大，還有著堪稱全年損失之最的PolyNetwork攻擊，該月份攻擊不僅影響到新興的跨鏈項目也對同類型的協議敲響警鐘，這份影響持續著整個區塊鏈安全生態。

Ⅸ：問題依舊

關鍵詞：初始化攻擊，恒定乘積校驗，預言機操控，閃電貸

上海成立張江元宇宙創新發展聯盟，張江元宇宙生態已涵蓋2400家企業:7月30日消息，在日前舉行的2022上海元宇宙峰會上，張江元宇宙創新發展聯盟正式成立。首批成員包括百度、維智科技、達觀數據、SAP、埃森哲、上海科技大學等20余家政、產、學、研、資各領域的專業機構和龍頭企業。據了解，當前張江元宇宙生態涵蓋科學城生命健康、集成電路、人工智能三大世界級產業集群，6大類、17個賽道、124個技術路線，2400家企業，包含幾乎所有的張江科學城重點園區。張江元宇宙創新發展聯盟旨在整合全產業資源，打造以提升元宇宙行業發展為核心，集研發生產、人才培養、創新應用、數字賦能、品牌推廣于一體的合作平臺。據悉，下一步，張江集團將在張江中區4.1平方公里建設數字孿生的張江科學城，元宇宙原生的張江科學會堂等，打造元宇宙的場景首發地，集成創新場，打造張江的未來之城。[2022/7/30 2:47:13]

安全月度風險評估：高

月度評價：本月各類攻擊損失依然巨大，但相較于新型漏洞，大多數漏洞都屬于可追溯漏洞即已經出現過的漏洞。

Ⅹ：漏洞多樣化

關鍵詞：價值描述，修補方案，多次攻擊

安全月度風險評估：高

月度評價：各種漏洞產生的情況也是各有不同，有礦池功能存在問題、有兌換功能存在問題、甚至有鑄幣功能存在問題等，但是CreamFinance該年度已經多次遭受攻擊實屬應該做好防護。

Ⅺ：問題多元化

關鍵詞：預言機操控，治理攻擊，私鑰泄露

安全月度風險評估：高

月度評價：該月份同樣問題嚴重，有傳統的預言機安全問題、私鑰泄露問題甚至還有著項目方反擼礦工的操作。

Ⅻ：經典再現

關鍵詞：閃電貸，重入

安全月度風險評估：中

月度評價：傳統的預言機安全問題與重入安全問題，但是殺傷力依舊巨大。

合成資產協議SpartanProtocol遭到閃電貸攻擊，由于添加/移除流動性存在滑點修正機制的差別導致套利，損失3050萬美元

機槍池項目ValueDeFi由于協議組合存在的沖突隱患遭到攻擊，損失1000萬美元，2天后再次遭到攻擊，損失1100萬美元；

PancakeBunny遭到閃電貸攻擊，由于LP代幣價格計算問題導致套利，損失約4500萬美元；

BurgerSwap遭到閃電貸攻擊，由于重入漏洞和架構問題導致套利，損失約330萬美元；

PancakeBunny項目仿盤PancakeHunny項目遭遇黑客攻擊，主要漏洞原因在于mintFor函數錯誤地使用合約余額作為參數，且兌換HunnyToken使用的固定參數，導致套利可行。

以太坊DeFi項目Alchemix的alETH合約出現安全問題，由于部署腳本錯誤的創建vault值并在調用中使用了錯誤的索引，導致用戶獎勵超發

BSC鏈上DeFi協議xWinFinance遭到閃電貸攻擊，合約未對獎勵推薦人地址做校驗，導致同一地址推薦人獎勵可累計。

去中心化跨鏈交易協議Anyswap遭到攻擊，漏洞原因在于其V3路由器MPC帳戶下存在兩個v3router交易，這兩個交易具有相同的R值簽名，攻擊者可以反推出MPC賬戶的私鑰，損失約800萬美元。

BSV網絡遭受惡意攻擊，造成多個區塊重組，攻擊者借此進行了雙花攻擊。

去中心化跨鏈交易協議THORChain遭受多次攻擊，因其代幣特性tx.origin可被用做釣魚，損失約2500萬美元。

收益耕作協議PolyYeldFinance遭受攻擊，因其轉賬時存在實際到賬少于轉出的缺陷，被黑客利用控制了MasterChef合約中代幣，實現超額獎勵。

以太坊上DeFi協議PopsicleFinance遭遇閃電貸襲擊，漏洞原因在于PLP池合約對手續費獎勵的計算存在缺陷，損失2,070萬美元；

跨鏈協議PolyNetwork遭到攻擊，由于函數缺陷導致keeper可被修改，這次攻擊被稱為年度最大黑客事件，損失約6.1億美元；

BSC鏈上DeFi項目Dot.Finance遭受閃電貸攻擊，這次攻擊屬于PancakeBunny同類型協議攻擊，損失近43萬美元，迄今為止，此類攻擊已造成損失超5,000萬美元；

以太坊上的DeFi協議CreamFinance遭遇重入漏洞襲擊，損失超1800萬美元；

NFT賽馬項目DeRac被攻擊，其漏洞原理是：Vesting合約未進行init未初始化保護，從而讓黑客初始化了init中他想要的參數，最后通過緊急提款函數提取了合約資金，損失約400萬美元。

去中心化交易所NowSwap遭到黑客攻擊，由于沒有修改swap函數的參數導致閃電貸的恒定乘積校驗邏輯失效，攻擊者返還部分閃電貸金額即被認為是完全歸還，從而實現了攻擊，損失金額超100萬美元。

借貸協議Vee.Finance，超3500萬美元資產被盜，據官方調查，極可能是小數點未精確以及權限校驗問題導致預言機價格被操縱。

去中心化借貸協議Compound出現變量設置錯誤轉移了更多的COMP代幣，該漏洞損失約28萬枚COMP代幣。

以太坊上被動收益協議IndexedFinance遭到攻擊，其漏洞產生的原因在于協議通過一種代幣來描述整個礦池價值，損失約1600萬美元。

去中心化借貸協議Compound在試圖通過社區提案修補流動性挖礦代幣分發合約含有的漏洞的同時，因為drip()函數的調用而向漏洞合約打入了20萬枚comp代幣，由此該協議已面臨1.58億美元的潛在損失。

以太坊上DeFi借貸協議CreamFinance再遭受攻擊，此次攻擊產生的核心代碼原因在于價格因子pricePerShare通過簡單的資產數額占比來動態定價，損失約1.3億美元。

以太坊上的DeFi協議VesperFiFianance遭遇預言機操控攻擊，損失超300萬美元。

Curve.Finance遭Mochi穩定幣USDM團隊「治理攻擊」，損失超3000萬美元。

DeFi借貸協議bZx在Polygon和BSC鏈上的私鑰泄露事件已導致超5500萬美元資產被盜。

Fantom鏈上復合收益平臺GrimFinance遭遇了閃電貸攻擊，攻擊者利用depoistFor函數不存在token校驗，通過將token地址指向自己的攻擊合約實現重入攻擊，損失超3000萬美元。

Definer遭遇預言機操控攻擊，問題在于OEC鏈上對于預言機的實現存在問題，使用了單一流動池在一個時間點的池內代幣余額作為價格源從而導致了事故的發生。

總結

凡是過去，皆為序章。

2021年，注定是不平凡的一年。對區塊鏈而言，各種新事物不斷出現的同時，也產生了諸多的安全問題，同時帶來了全新的安全挑戰。

在這些種種安全事件中最亮眼的名詞當屬閃電貸，在上述經典攻擊事件中閃電貸工具被使用了數10次。而攻擊難度低，收益高的跑路和詐騙也時有發生。每年對于區塊鏈安全所造成的損失也仍在不斷增加，并且沒有一絲暫緩之勢。

在這些攻擊中，DeFi仍是區塊鏈安全的重災地，由于各種項目方實現的多樣性和復用代碼造成的理解差異，導致了如此多的經濟損失值得每一個人深思。這不是某一個人或者某一個組織的事，而是需要整體行業大眾普遍安全意識的提升。

最后，希望大家在新的一年中，以史為鑒，砥礪前行。

Tags：EFIANCDEFIDEFAlchemist DeFi AurumGalaxy Finance去中心化金融defi是干什么的fdudefi

OKB