2022年是Web3崛起以來,損失最慘重的一年。
Web3這一個月來風波不斷。
8月初,明星公鏈Solana發生黑客盜幣事件,超過9000個錢包地址被襲擊,損失約400多萬美元,在用戶中引發了一波恐慌情緒,也讓Solana陷入信用危機。
幾天后,加密貨幣混幣器TornadoCash被美國財政部的下屬機構——海外資產控制辦公室列入制裁名單,其中包括40多個與TornadoCash協議相關的以太坊地址,涉及價值超4億美元的資產被凍結。
定位于隱私服務的混幣器,在加密社區的名聲一直備受爭議,其中的「頭部」TornadoCash更是有「臟幣銷金窟」之稱。
TornadoCash被美國財政部制裁后,其代幣價格大幅下降。
這次制裁意味著美國的社區用戶,無論個人還是實體,都不得再與TornadoCash平臺以及和它綁定的錢包地址進行經濟交易。按照過往的案例,如果違規,可能面臨高達30多萬美元的罰款和最高30年的監禁。
Circle CEO:70%的USDC采用來自美國以外:金色財經報道,Circle首席執行官Jeremy Allaire表示,“我們估計70%的USDC采用率都在美國以外,而且一些增長最快的地區是新興市場和發展中市場。亞洲、拉丁美洲和非洲都取得了巨大進展。對安全、透明的數字美元的需求強勁。”[2023/8/8 21:31:35]
緊接著,外媒曝出29歲的TornadoCash開發者在荷蘭阿姆斯特丹被逮捕,當地執法部門稱TornadoCash涉嫌隱瞞非法資金流動和協助洗錢,從今年6月份開始一直在對其進行調查。
TornadoCash被制裁,在加密行業引發「站隊」。有人公開表達不滿,認為美國財政部監管越界,侵犯了美國公民的隱私權和自由;也有人帶頭響應監管,穩定幣USDC的發行方Circle迅速凍結了TornadoCash相關錢包地址上的資產。
Web3正面臨著崛起以來最嚴峻的安全考驗與審查壓力。2022年上半年,Web3領域的資產損失約為20億美元,超過了去年全年被黑客攻擊的總損失數額。隨之而來的連鎖反應是,監管執法之手越伸越長。
人們的慣常認知中,強調去中心化邏輯的Web3本應擁有更強的安全性和私密性,如今卻被黑客和監管雙雙盯上。加密世界正經歷著對其未來命運影響深遠的動蕩時刻。
Ripple政策主管反駁SEC主席觀點:加密貨幣與證券不同,一刀切的方法不可行:4月8日消息,在最近的一篇推文中,美國證券交易委員會(SEC)主席Gary Gensler表示,加密市場與證券法沒有任何不兼容之處。他強調,SEC的目標是使加密領域符合這一立法,確保數字資產的投資者獲得與其他市場相同的保護。
然而,Ripple的政策主管Susan Friedman表示,Gensler的聲明中存在一個關鍵缺陷。他指出,與證券不同,加密貨幣通常不涉及對要約人的財務索賠,并且可以在沒有中介的情況下實時結算。她認為,這種差異需要具體的規則,而不是千篇一律的保證,即一刀切的方法是正確的運作方式。(U.Today)[2023/4/8 13:51:08]
01黑客打劫Solana:一場懸而未決的「公案」
距離Solana發生黑客盜幣時間已經過去半個多月,官方依然沒有給出最終的調查結果。
區塊鏈安全公司慢霧科技團隊分析發現,根據Solanafoundation提供的數據顯示,近60%被盜用戶使用的是Phantom錢包,此外有30%左右地址使用了Slope錢包,并且iOS和Android版本的應用都有相應的受害者。
風險投資人:NFT將把加密貨幣帶給數十億用戶:金色財經報道,加密風投機構Electric Capital的首席執行官兼聯合創始人Avichal Garg在接受采訪時表示:“我可以想象,NFTs實際上是數十億人的,因為它最終是文化。而這是每個人都可以參與的事情,每個人都可以理解。”
Garg將自己定義為“NFT最大主義者”,他認為NFTs在為大眾帶來加密貨幣這個方面發揮著重要作用。與其他加密貨幣的利基市場不同,NFTs與日常生活的各個方面都有關系,如藝術、音樂和游戲。(Cointelegraph)[2022/9/19 7:05:10]
事發3天后,Slope曾在twitter上發布了一個官方錢包地址,并公開表示,一直在與執法部門和情報公司合作追蹤被盜資產,如果黑客愿意歸還,可以向其支付10%的賞金。「收回這些資金后,我們就不會再繼續追究,也不會采取任何法律行動。」
Slope團隊給黑客留了48小時的時間來歸還資產,但這個賞金要約并未得到黑客的回應。
Slope錢包官方向黑客發出賞金要約
美國法院授權三箭資本清算人可以索賠三箭資本在美國的資產:7月13日消息,加密對沖基金三箭資本 (3AC) 的清算人周二獲得美國法院許可,可以發出傳票并對這家破產的新加坡公司的資產提出索賠,并指出3AC失蹤的創始人不再控制其帳戶。曼哈頓的美國破產法官Martin Glenn授權清算人索取3AC在美國的資產,并向其創始人以及可能掌握其資產和轉賬信息的大約24家銀行和加密貨幣交易所發出傳票。
清算人的律師亞Adam Goldberg周二在緊急聽證會上表示,公司創始人Zhu Su和Kyle Livingstone Davies的下落仍然未知。如果沒有創始人的合作,清算人無法全面了解3AC的資產及其位置。這些資產的數字化性質帶來了一個真正的風險,即創始人或其他各方將把它們迅速轉移,除非法庭命令阻止。(路透社)[2022/7/13 2:09:15]
硬件錢包Keystone創始人劉力心還記得,事發當天,他被拉進了一個有100多位白帽黑客的「warroom」,安全專家們討論了事件可能的經過。
「最初的猜測是某個NFT項目被集體攻擊。」劉力心回憶,從被黑的錢包地址數量來看,八九千個的量級通常是某個NFT項目發行的常見數量,最初的猜測是某個NFT項目方作惡,例如進行了惡意授權。
Okay Bear成為Solana鏈上美元交易額第一大NFT系列:7月10日消息,據 CryptoSlam 數據顯示,Okay Bear NFT 交易總額已突破 2 億美元,超越 Solana Monkey Business 成為 Solana 鏈上美元交易額第一大 NFT 系列,當前 Okay Bear 交易額為 219,599,745 美元,交易量為 34,221 筆;Solana Monkey Business 交易額為 198,739,108 美元,交易量為 11,027 筆。[2022/7/10 2:03:02]
但這個猜測很快被否定。安全技術人員發現,有幾筆被盜交易的發生是由于用私鑰做簽名,而不是錯誤授權導致資產轉移。接下來,關于事故原因的猜測還有供應鏈攻擊、黑客撞取隨機數、采取不恰當的簽名方式等等,隨后也都被一一推翻。
當天下午,一位海外研究人員發現,Solana鏈上的Slope錢包私有化部署了第三方應用監控服務Sentry,會收集用戶的私鑰或助記詞等信息,然后上傳到中心化的服務器。
Sentry是一個應用監測平臺,可以實時監控應用在運行狀態時出現的異常或錯誤日志信息。如果Sentry發現了系統bug,會通過郵件等方式通知應用方的技術人員。
在加密世界,Sentry服務被廣泛應用,Slope錢包就是其一。但使用Sentry時需要注意一個問題,如果出現了配置錯誤,Sentry可能會收集到額外的數據,如私鑰或助記詞等私密信息。
安全專家們推測,在Solana盜幣事件中,用戶創建錢包時,Slope將助記詞和私鑰等敏感數據錯誤發送給了Sentry。這給黑客提供了可乘之機,黑客竊取了存儲在Sentry中心化服務器上的私鑰。
經過調查后,Slope發布聲明稱,雖然上述安全漏洞確實存在,但被攻擊的Slope地址的數量只是這次被盜錢包地址總數的一小部分。目前也暫無證據表明Sentry官方遭到了入侵和攻擊,因為Slope錢包使用的Sentry服務部署在私有服務器。
此外,具體數據來看,服務器上的私鑰和助記詞派生出來的地址中,與受害者地址有交集的,只有5個以太坊地址和1388個Solana地址。也就是說,Slope此次被黑的超過2700個錢包中只有一半存在Sentry漏洞,這無法解釋其余用戶錢包是如何被黑的。
就已經掌握的調查結果來看,已知的攻擊者地址有4個,被盜資產在Solana鏈上尚未出現進一步轉移,但在ETH鏈上,一些資金已經被轉移到疑似OTC個人錢包地址,剩余部分被兌換為ETH后,轉移到了TornadoCash。
02Web3「危機四伏」
在這次Solana被襲同期,跨鏈橋NomadBridge也受到攻擊。值得注意的是,參與攻擊NomadBridge的黑客有上百位,甚至包含了「白帽子」,損失近2億美元。
慢霧科技首席信息安全官張連鋒告訴極客公園,目前對Web3的攻擊類型主要有兩種:
一是鏈上攻擊,例如假充值、重入攻擊、重放攻擊、重排攻擊等。這類攻擊往往更加隱秘,需要通過專業的代碼安全審計、完備的鏈上分析監測預警等方法來識別。
二是鏈下攻擊,如高級長期威脅、網絡釣魚、供應鏈攻擊等。這類都是傳統Web2常見的安全問題,但是目前卻對Web3生態安全產生了很大影響。
今年4月,周杰倫丟失價值超300萬人民幣的無聊猿編號3738的NFT,就是因為無意中點擊了釣魚鏈接。
周杰倫被盜的無聊猿NFT
Web3自帶金融屬性,金錢的誘惑下,更容易被黑客盯上。隨著Web3玩家的體量不斷擴大,加密貨幣犯罪也呈現快速上漲趨勢。
根據慢霧區塊鏈被黑事件檔案庫統計,2022年上半年,Web3領域的資產損失接近20億美元,已經超過2021年全年因黑客攻擊漏洞造成的總損失。
2022年因此被稱作「Web3興起以來損失最慘重的一年」。其中,以去中心化程度低、流動資金量大的跨鏈橋受損最為嚴重。
截至6月30日,今年共發生7起跨鏈橋安全事件,損失超過10億美元,占上半年總資產損失的半數以上。在上半年損失金額達到上億美元的4起事件中,有3起波及跨鏈橋。
比較有代表性的是區塊鏈游戲AxieInfinity的側鏈RoninNetwork被襲,造成6.24億美元的損失,以及Solana的跨鏈橋項目Wormhole被攻擊,損失3.26億美元。
除了跨鏈橋,區塊鏈錢包也是安全事件發生的「重災區」。
錢包是用戶管理加密資產的工具,也是用戶進入各類Web3應用的賬戶入口,加密世界的交互和交易通過錢包來進行。
錢包包含著基于公鑰和私鑰生成的地址,表面上看是一組有字母、數字構成的符號串。其中的私鑰可以對照理解為Web2支付工具的密碼,掌握這個「密碼」的人才是加密資產的真正主人。
所以,私鑰一般是黑客攻擊竊取的關鍵信息。通常來說,大部分錢包都會與網絡連接,私鑰泄露的風險系數較高。
加密貨幣被黑客盜取后,主要流向就是洗錢場景,以混幣器為代表性「幫兇」。
從隱私保護出發的混幣器,本來的設想是消除用戶的鏈上交易痕跡,卻被黑客用作轉移被盜資產后的洗錢工具。不久前被制裁的TornadoCash自2019年創建以來,已經「清洗」了價值超過70億美元的虛擬貨幣。
今年5月份的時候,美國曾經制裁了中心化混幣平臺Blender,理由是Blender涉嫌幫助朝鮮知名黑客組織LazarusGroup清洗從AxieInfinity盜取的部分資產。
LazarusGroup是一個來自朝鮮的網絡黑客集團,在2021年共竊取了價值超4億美元的加密貨幣
以美國政府為代表的監管勢力盯上混幣器,黑客們的如意算盤未來或許打得不那么響。制裁犯罪固然重要,但另一個關鍵的問題是,加密世界亟需更優化的安全方案,在財產、隱私保護與犯罪監管之間尋求平衡。
無論對淺試Web3的個體玩家還是Allin的建設者來說,在通向一個美麗新世界之前,先要走過一片遍布安全陷阱的暗黑森林。
來源:金色財經
B(Builder)+I(Innovation)+T(Team)+K(KOL)+E(Economic)+E(Evolution)+P(Price)撰文:Kevin.
1900/1/1 0:00:00數據顯示2022年上半年,全球元宇宙應用已獲得1.7億下載量,其中游戲應用下載量高達1.1億,占比全部總量的67.3%.
1900/1/1 0:00:00美聯儲主席杰羅姆鮑威爾在杰克遜霍爾年度演講中采取了激進的立場。由堪薩斯城聯儲主辦的年度會議是受人尊敬的經濟學家的聚會,旨在制定聯儲的經濟政策。他的激進立場讓許多專家擔心加密貨幣崩潰.
1900/1/1 0:00:00各位朋友大家好,我是幣馬瘟專注數字幣行情解析,每日會認真及時更新自己對數字幣的分析與見解,如果覺得還不錯的可以點擊關注.
1900/1/1 0:00:00DeFI無疑是我們這個時代最具創新性和革命性的發展之一。DeFi比TradFi/CeFi要好十倍,歷史上第一次,人們有了一種不需要越界、貪婪和腐敗的當局,而真正控制自己財務健康的方法.
1900/1/1 0:00:00經過八年的承諾,以太坊一定會擺脫工作證明加密貨幣挖礦的愚蠢行為……ETH區塊鏈合并到新的BeaconChain系統,即以前的ETH2,計劃在2022年9月15日至20日之間的某個時間合并.
1900/1/1 0:00:00