ASH:半年被盜20 億美金 黑客與監管都盯上了 Web3_Matryx

撰文：雪小頑

來源：?極客公園

Web3 這一個月來風波不斷。

8 月初，明星公鏈 Solana 發生黑客盜幣事件，超過 9000 個錢包地址被襲擊，損失約 400 多萬美元，在用戶中引發了一波恐慌情緒，也讓 Solana 陷入信用危機。

幾天后，加密貨幣混幣器 Tornado Cash 被美國財政部的下屬機構——海外資產控制辦公室（OFAC）列入制裁名單，其中包括 40 多個與 Tornado Cash 協議相關的以太坊地址，涉及價值超 4 億美元的資產被凍結。

定位于隱私服務的混幣器，在加密社區的名聲一直備受爭議，其中的「頭部」Tornado Cash 更是有「臟幣銷金窟」之稱。

Tornado Cash 被美國財政部制裁后，其代幣價格大幅下降。｜來源：business2community.com

這次制裁意味著美國的社區用戶，無論個人還是實體，都不得再與 Tornado Cash 平臺以及和它綁定的錢包地址進行經濟交易。按照過往的案例，如果違規，可能面臨高達 30 多萬美元的罰款和最高 30 年的監禁。

韓國多個大型券商均擬于明年上半年設立加密資產交易所:8月22日消息，為了在明年上半年設立虛擬資產（加密資產）交易所，韓國未來資產證券、NH、KB、新韓投資證券均已開始向金融當局提交初步許可及設立法人申請。一家證券公司的負責人表示：目前在內部已經結束了成立所需的討論。今年第四季度政府公布了包括放寬虛擬資產相關法律條款及限制規定等內容后，才可能制定出具體的內容。

未來資產證券正準備通過在其關聯公司Mirae Asset Consulting下設立子公司來開展虛擬資產業務。為此，該證券公司正在招聘比特幣、以太坊、NFT等數字資產機構服務的研發人員。未來資產證券沒有直接推進虛擬資產事業，而是以參與未來資產集團下屬特別工作小組(TF)的方式與集團步調一致。三星證券也正在研究如何進入基于區塊鏈的證券代幣業務。

報道稱，證券公司進入虛擬資產交易業務與尹錫悅政府放松加密貨幣監管是一致的。該國金融服務委員會計劃推動制定“加密貨幣商業權利法案”。FSC計劃修訂相關法律并推進《數字資產框架法》，以便在分為證券型代幣和非證券型代幣的一個受監管框架內進行管理，同時表示將審查該國虛擬資產是否為證券。（Newspim）[2022/8/22 12:40:33]

緊接著，外媒曝出 29 歲的 Tornado Cash 開發者在荷蘭阿姆斯特丹被逮捕，當地執法部門稱 Tornado Cash 涉嫌隱瞞非法資金流動和協助洗錢，從今年 6 月份開始一直在對其進行調查。

Animoca Brands今年上半年進行66筆投資，總額超過1.85億美元:8月18日消息，TokenInsight近日發布報告《Animoca Brands 2022上半年投資概況》。報告顯示，Animoca Brands在2022年上半年進行66筆投資，總額超過1.85億美元。

大約三分之二的投資流向了游戲和基礎設施。游戲領域內的投資項目最多，包含28筆交易。然而，最大手筆的投資來自媒體類別。以色列教育視頻平臺TinyTap以約3900萬美元的價格被收購。

平均而言，Animoca Brands每月完成11筆投資。其出手次數在5月顯著下降，因為當時整個Crypto市場都被Luna/UST的崩盤而拖累。Animoca Brands在6月恢復其投資頻率，并且當月支出是上半年之最。然而，Animoca Brands在7月只宣布了一筆投資。6月的項目可能是5月就已經完成卻推遲宣布的。Animoca Brands可能正在放緩自己的投資節奏。[2022/8/18 12:34:18]

Tornado Cash 被制裁，在加密行業引發「站隊」。有人公開表達不滿，認為美國財政部監管越界，侵犯了美國公民的隱私權和自由；也有人帶頭響應監管，穩定幣 USDC 的發行方 Circle 迅速凍結了 Tornado Cash 相關錢包地址上的資產。

美聯儲理事：預計通脹將在今年下半年降溫:美聯儲理事沃勒表示，通脹顯著高于2%的目標，預計通脹將在今年下半年降溫。（金十）[2021/8/3 1:30:09]

Web3 正面臨著崛起以來最嚴峻的安全考驗與審查壓力。2022 年上半年，Web3 領域的資產損失約為 20 億美元，超過了去年全年被黑客攻擊的總損失數額。隨之而來的連鎖反應是，監管執法之手越伸越長。

人們的慣常認知中，強調去中心化邏輯的 Web3 本應擁有更強的安全性和私密性，如今卻被黑客和監管雙雙盯上。加密世界正經歷著對其未來命運影響深遠的動蕩時刻。

距離 Solana 發生黑客盜幣時間已經過去半個多月，官方依然沒有給出最終的調查結果。

區塊鏈安全公司慢霧科技團隊分析發現，根據 Solana foundation 提供的數據顯示，近 60% 被盜用戶使用的是 Phantom 錢包，此外有 30% 左右地址使用了 Slope 錢包，并且 iOS 和 Android 版本的應用都有相應的受害者。

事發 3 天后，Slope 曾在 twitter 上發布了一個官方錢包地址，并公開表示，一直在與執法部門和情報公司合作追蹤被盜資產，如果黑客愿意歸還，可以向其支付 10% 的賞金。「收回這些資金后，我們就不會再繼續追究，也不會采取任何法律行動。」

加密貨幣經紀商Safello計劃在2021年上半年在納斯達克上市:瑞典金融技術初創企業Safello宣布，計劃在2021年上半年在納斯達克上市。據悉，Safello是一個線上加密貨幣經紀商，是在瑞典金融服務管理局合規注冊的金融機構。Safello提供加密貨幣買賣服務，曾在2015年和英國巴克萊銀行合作。[2020/12/20 15:52:21]

Slope 團隊給黑客留了 48 小時的時間來歸還資產，但這個賞金要約并未得到黑客的回應。

Slope 錢包官方向黑客發出賞金要約。｜來源：twitter

硬件錢包 Keystone 創始人劉力心還記得，事發當天，他被拉進了一個有 100 多位白帽黑客的「war room」，安全專家們討論了事件可能的經過。

「最初的猜測是某個 NFT 項目被集體攻擊。」劉力心回憶，從被黑的錢包地址數量來看，八九千個的量級通常是某個 NFT 項目發行的常見數量，最初的猜測是某個 NFT 項目方作惡，例如進行了惡意授權。

但這個猜測很快被否定。安全技術人員發現，有幾筆被盜交易的發生是由于用私鑰做簽名，而不是錯誤授權導致資產轉移。接下來，關于事故原因的猜測還有供應鏈攻擊、黑客撞取隨機數、采取不恰當的簽名方式等等，隨后也都被一一推翻。

聲音 | 幣安CEO趙長鵬：幣安上半年的營收為3億美元上下:幣安CEO趙長鵬：2018年的凈利潤有望達到5億至10億美元，幣安上半年的營收為3億美元上下。[2018/7/6]

當天下午，一位海外研究人員發現，Solana 鏈上的 Slope 錢包私有化部署了第三方應用監控服務 Sentry，會收集用戶的私鑰或助記詞等信息，然后上傳到中心化的服務器。

Sentry 是一個應用監測平臺，可以實時監控應用在運行狀態時出現的異常或錯誤日志信息。如果 Sentry 發現了系統 bug，會通過郵件等方式通知應用方的技術人員。

在加密世界，Sentry 服務被廣泛應用，Slope 錢包就是其一。但使用 Sentry 時需要注意一個問題，如果出現了配置錯誤，Sentry 可能會收集到額外的數據，如私鑰或助記詞等私密信息。

安全專家們推測，在 Solana 盜幣事件中，用戶創建錢包時，Slope 將助記詞和私鑰等敏感數據錯誤發送給了 Sentry。這給黑客提供了可乘之機，黑客竊取了存儲在 Sentry 中心化服務器上的私鑰。

經過調查后，Slope 發布聲明稱，雖然上述安全漏洞確實存在，但被攻擊的 Slope 地址的數量只是這次被盜錢包地址總數的一小部分。目前也暫無證據表明 Sentry 官方遭到了入侵和攻擊，因為 Slope 錢包使用的 Sentry 服務部署在私有服務器。

此外，具體數據來看，服務器上的私鑰和助記詞派生出來的地址中，與受害者地址有交集的，只有 5 個以太坊地址和 1388 個 Solana 地址。也就是說，Slope 此次被黑的超過 2700 個錢包中只有一半存在 Sentry 漏洞，這無法解釋其余用戶錢包是如何被黑的。

就已經掌握的調查結果來看，已知的攻擊者地址有 4 個，被盜資產在 Solana 鏈上尚未出現進一步轉移，但在 ETH 鏈上，一些資金已經被轉移到疑似 OTC 個人錢包地址，剩余部分被兌換為 ETH 后，轉移到了 Tornado Cash。

在這次 Solana 被襲同期，跨鏈橋 Nomad Bridge 也受到攻擊。值得注意的是，參與攻擊 Nomad Bridge 的黑客有上百位，甚至包含了「白帽子」，損失近 2 億美元。

慢霧科技首席信息安全官（CISO）張連鋒告訴極客公園，目前對 Web3 的攻擊類型主要有兩種：

一是鏈上攻擊，例如假充值、重入攻擊、重放攻擊、重排攻擊等。這類攻擊往往更加隱秘，需要通過專業的代碼安全審計、完備的鏈上分析監測預警等方法來識別。

二是鏈下攻擊，如高級長期威脅（APT）、網絡釣魚、供應鏈攻擊等。這類都是傳統 Web2 常見的安全問題，但是目前卻對 Web3 生態安全產生了很大影響。

今年 4 月，周杰倫丟失價值超 300 萬人民幣的無聊猿編號 3738 的 NFT，就是因為無意中點擊了釣魚鏈接。

周杰倫被盜的無聊猿 NFT。｜圖片源自網絡

Web3 自帶金融屬性，金錢的誘惑下，更容易被黑客盯上。隨著 Web3 玩家的體量不斷擴大，加密貨幣犯罪也呈現快速上漲趨勢。

根據慢霧區塊鏈被黑事件檔案庫（SlowMist Hacked）統計，2022 年上半年，Web3 領域的資產損失接近 20 億美元，已經超過 2021 年全年因黑客攻擊漏洞造成的總損失。

2022 年因此被稱作「Web3 興起以來損失最慘重的一年」。其中，以去中心化程度低、流動資金量大的跨鏈橋受損最為嚴重。

截至 6 月 30 日，今年共發生 7 起跨鏈橋安全事件，損失超過 10 億美元，占上半年總資產損失的半數以上。在上半年損失金額達到上億美元的 4 起事件中，有 3 起波及跨鏈橋。

比較有代表性的是區塊鏈游戲 Axie Infinity 的側鏈 Ronin Network 被襲，造成 6.24 億美元的損失，以及 Solana 的跨鏈橋項目 Wormhole 被攻擊，損失 3.26 億美元。

除了跨鏈橋，區塊鏈錢包也是安全事件發生的「重災區」。

錢包是用戶管理加密資產的工具，也是用戶進入各類 Web3 應用的賬戶入口，加密世界的交互和交易通過錢包來進行。

錢包包含著基于公鑰和私鑰生成的地址，表面上看是一組有字母、數字構成的符號串。其中的私鑰可以對照理解為 Web2 支付工具的密碼，掌握這個「密碼」的人才是加密資產的真正主人。

所以，私鑰一般是黑客攻擊竊取的關鍵信息。通常來說，大部分錢包都會與網絡連接，私鑰泄露的風險系數較高。

加密貨幣被黑客盜取后，主要流向就是洗錢場景，以混幣器為代表性「幫兇」。

從隱私保護出發的混幣器，本來的設想是消除用戶的鏈上交易痕跡，卻被黑客用作轉移被盜資產后的洗錢工具。不久前被制裁的 Tornado Cash 自 2019 年創建以來，已經「清洗」了價值超過 70 億美元的虛擬貨幣。

今年 5 月份的時候，美國曾經制裁了中心化混幣平臺 Blender，理由是 Blender 涉嫌幫助朝鮮知名黑客組織 Lazarus Group 清洗從 Axie Infinity 盜取的部分資產。

Lazarus Group 是一個來自朝鮮的網絡黑客集團，在 2021 年共竊取了價值超 4 億美元的加密貨幣。

以美國政府為代表的監管勢力盯上混幣器，黑客們的如意算盤未來或許打得不那么響。制裁犯罪固然重要，但另一個關鍵的問題是，加密世界亟需更優化的安全方案，在財產、隱私保護與犯罪監管之間尋求平衡。

無論對淺試 Web3 的個體玩家還是 All in 的建設者來說，在通向一個美麗新世界之前，先要走過一片遍布安全陷阱的暗黑森林。

極客公園

個人專欄

閱讀更多

金色早8點

Bress

鏈捕手

財經法學

PANews

成都鏈安

Odaily星球日報

Tags：WEBWEB3TRYASHweb3.0幣種有哪些web3游戲賺錢MatryxHashNet BitEco

火必交易所