- 元宇宙：本站分享元宇宙相關(guān)資訊，資訊僅代表作者觀點(diǎn)與平臺(tái)立場(chǎng)無(wú)關(guān),僅供參考.
上周，我們發(fā)布了慢霧出品|2024Blockchain安全與反*洗*錢(qián)年度報(bào)告，接下來(lái)我們把報(bào)告分為四篇文章來(lái)解讀，剖析報(bào)告中的關(guān)鍵內(nèi)容，幫助讀者更全面深入地理解當(dāng)前Blockchain生態(tài)系統(tǒng)中的關(guān)鍵安全挑戰(zhàn)和機(jī)遇。本篇主要聚焦Blockchain生態(tài)安全態(tài)勢(shì)。
在安全領(lǐng)域，2024年延續(xù)了以往的嚴(yán)峻態(tài)勢(shì)。黑客攻擊事件頻發(fā)，尤其是針對(duì)中心化平臺(tái)的攻擊占據(jù)著主導(dǎo)地位。與此同時(shí)，智能合約漏洞和社會(huì)工程學(xué)攻擊仍是黑客的主要作惡手段，而釣魚(yú)攻擊的方式更加隱蔽，手段更加復(fù)雜，用戶資產(chǎn)的保護(hù)仍面臨重大挑戰(zhàn)。供應(yīng)鏈安全問(wèn)題也在2024年引發(fā)更多關(guān)注，多個(gè)知名項(xiàng)目遭遇惡意代碼注入攻擊，導(dǎo)致大量用戶資產(chǎn)丟失。
根據(jù)慢霧Blockchain被黑事件檔案庫(kù)(SlowMistHacked)統(tǒng)計(jì)，2024年共發(fā)生安全事件410件，損失高達(dá)20.13億美元。對(duì)比2023年（共464件，損失約24.86億美元），損失同比下降19.02%。
注：本報(bào)告數(shù)據(jù)基于事件發(fā)生時(shí)的Tokens價(jià)格，由于幣價(jià)波動(dòng)和部分未公開(kāi)事件的損失未納入統(tǒng)計(jì)等因素，實(shí)際損失應(yīng)高于統(tǒng)計(jì)結(jié)果。
DMMBitcoin
2024年5月31日，日本Crypto交易所DMMBitcoin表示，其官方錢(qián)包中的4,502.9BTC被*非*法轉(zhuǎn)移，造成價(jià)值約482億日元的損失。據(jù)悉，DMMBitcoin安全事件的損失金額在Crypto黑客攻擊史上排名第七，是自2022年12月以來(lái)最大的一次攻擊。同時(shí)，此前日本曾發(fā)生過(guò)兩起重大Crypto交易所黑客攻擊事件，即2014年的Mt.Gox事件和2018年的Coincheck事件，被盜金額分別為4.5億美元和5.34億美元。此次DMMBitcoin攻擊事件成為日本第三大此類(lèi)案件。12月23日，據(jù)美國(guó)聯(lián)邦調(diào)查局（FBI）通報(bào)，美國(guó)聯(lián)邦調(diào)查局（FBI）、國(guó)防部網(wǎng)絡(luò)犯罪中心（DC3）以及日本警察廳（NPA）提醒公眾，此次盜竊與TraderTraitor威脅活動(dòng)相關(guān)，TraderTraitor也被跟蹤記錄為JadeSleet、UNC4899和SlowPisces。TraderTraitor活動(dòng)通常以針對(duì)同一公司多名員工的社交工程攻擊為特征。
據(jù)悉，2024年3月底，一名偽裝成LinkedIn招聘人員的朝鮮黑客聯(lián)系了Ginco公司的員工，Ginco是一家總部位于日本的企業(yè)級(jí)Crypto錢(qián)包軟件公司。黑客向目標(biāo)員工發(fā)送了一個(gè)鏈接，指向一個(gè)托管在GitHub上的惡意Python腳本，聲稱(chēng)這是一個(gè)入職測(cè)試。目標(biāo)員工將Python代碼復(fù)制到自己的GitHub頁(yè)面上，結(jié)果遭到入侵。5月中旬后，TraderTraitor黑客利用會(huì)話Cookie信息冒充被攻擊的員工，成功訪問(wèn)Ginco公司未加密的通信系統(tǒng)。5月底，黑客可能利用此訪問(wèn)權(quán)限篡改了DMMBitcoin員工的合法交易請(qǐng)求，導(dǎo)致4,502.9BTC被盜。最終，盜取的資金被轉(zhuǎn)移到TraderTraitor控制的錢(qián)包中。PlayDapp
2024年2月9日，Blockchain游戲平臺(tái)PlayDapp遭攻擊，黑客入侵了PlayDapp(PLA)Tokens智能合約。黑客*非*法獲取了私鑰，從而改變了智能合約的所有權(quán)和鑄幣權(quán)限，將其轉(zhuǎn)移到自己的賬戶上。黑客移除了現(xiàn)有管理員的授權(quán)，并*非*法鑄造了2億個(gè)PLATokens。事發(fā)后不久，PlayDapp通過(guò)鏈上交易向黑客發(fā)送消息，要求歸還被盜資金并提供100萬(wàn)美元白帽獎(jiǎng)勵(lì)，但最終談判失敗。2月12日，黑客再次*非*法鑄造了15.9億PLATokens，但由于交易所已采取凍結(jié)措施，市場(chǎng)流通已被停止，未能流通。4月1日，據(jù)PlayDapp披露，2024年1月16日，PlayDapp團(tuán)隊(duì)收到了黑客偽造的郵件，該郵件精心設(shè)計(jì)，具有與其常收到的來(lái)自主要合作交易所的常規(guī)信息請(qǐng)求郵件完全相同的標(biāo)題、發(fā)件人郵件地址（包括用戶名和域名）以及內(nèi)容。分析表明，當(dāng)執(zhí)行郵件附件中的惡意代碼時(shí)，受害者的電腦安裝了一個(gè)篡改的遠(yuǎn)程訪問(wèn)多會(huì)話工具，隨后被黑客遠(yuǎn)程控制，導(dǎo)致管理員私鑰被盜。WazirX
2024年7月18日，印度Crypto交易所WazirX的多簽錢(qián)包被監(jiān)測(cè)到發(fā)生多筆可疑交易。7月19日，據(jù)WazirX在X平臺(tái)發(fā)布網(wǎng)絡(luò)攻擊的初步調(diào)查結(jié)果，他們的一個(gè)多重簽名錢(qián)包遭遇了網(wǎng)絡(luò)攻擊，損失超過(guò)2.3億美元。該錢(qián)包共有六個(gè)簽署人——五名來(lái)自WazirX團(tuán)隊(duì)成員和一名來(lái)自Liminal的成員，負(fù)責(zé)交易驗(yàn)證。每筆交易通常需要WazirX團(tuán)隊(duì)三名簽署人（這三名簽署人都使用Ledger硬件錢(qián)包以確保安全）批準(zhǔn)后，才會(huì)由Liminal的簽署人進(jìn)行最終批準(zhǔn)。此次網(wǎng)絡(luò)攻擊源于Liminal界面上顯示的數(shù)據(jù)與實(shí)際交易內(nèi)容之間的差異，在攻擊發(fā)生時(shí)，Liminal界面顯示的交易信息與實(shí)際簽署的內(nèi)容不符。WazirX懷疑黑客通過(guò)替換載荷，將錢(qián)包控制權(quán)轉(zhuǎn)移給了自己。BtcTurk
2024年6月22日，土耳其Crypto交易所BtcTurk遭攻擊，損失約9千萬(wàn)美元。BtcTurk在6月22日的聲明中表示：“此次網(wǎng)絡(luò)攻擊影響了我們熱錢(qián)包中10種Crypto余額的一部分，大部分存儲(chǔ)在冷錢(qián)包中的資產(chǎn)仍然安全！睋(jù)Binance首席執(zhí)行官RichardTeng透露，Binance已凍結(jié)了其中價(jià)值530萬(wàn)美元的被盜資產(chǎn)。Munchables
2024年3月27日，Blast生態(tài)項(xiàng)目Munchables遭攻擊，損失約6,250萬(wàn)美元。同日，Blast創(chuàng)始人Pacman發(fā)推表示：“Blast核心貢獻(xiàn)者已通過(guò)多重簽名獲得9,700萬(wàn)美元的資金。感謝前Munchables開(kāi)發(fā)者選擇最終退還所有資金，且不需要任何贖金！盧adiantCapital
2024年10月17日，RadiantCapital在X發(fā)文表示意識(shí)到BNBChain和Arbitrum上的Radiant借貸市場(chǎng)存在問(wèn)題，Base和主網(wǎng)市場(chǎng)已暫停交易。據(jù)慢霧安全團(tuán)隊(duì)分析，此次事件是Radiant黑客*非*法控制3個(gè)多簽權(quán)限后，升級(jí)了惡意合約以竊取資金。10月18日，Radiant發(fā)布事件分析報(bào)告表示，此次事件導(dǎo)致約5千萬(wàn)美元的損失，黑客通過(guò)復(fù)雜的惡意軟件注入技術(shù)，成功入侵了至少三位核心貢獻(xiàn)者的設(shè)備，這些被入侵的設(shè)備隨后被用來(lái)簽署惡意交易。12月6日，Radiant發(fā)布被攻擊事件的最近進(jìn)展，Radiant聘請(qǐng)的安全公司Mandiant將此次攻擊歸因于UNC4736，通常被稱(chēng)為AppleJeus或CitrineSleet。Mandiant高度認(rèn)為UNC4736與朝鮮民主主義人民共和國(guó)（DPRK）有關(guān)。BingX
2024年9月20日，據(jù)Crypto交易所BingX公告，新加坡時(shí)間9月20日凌晨4點(diǎn)左右，BingX的安全系統(tǒng)檢測(cè)到針對(duì)一個(gè)熱錢(qián)包的未經(jīng)授權(quán)的入侵。據(jù)慢霧安全團(tuán)隊(duì)統(tǒng)計(jì)，此次事件導(dǎo)致的損失約達(dá)4,500萬(wàn)美元。根據(jù)MistTrack 的分析，Indodax黑客和BingX黑客之間疑似存在聯(lián)系，這兩起攻擊事件的黑客使用了同一個(gè)地址*洗*錢(qián)，且都指向了朝鮮黑客LazarusGroup。HedgeyFinance
2024年4月19日，HedgeyFinance遭攻擊，黑客進(jìn)行了一系列惡意交易，導(dǎo)致其在Ethereum和Arbitrum兩條鏈上損失總計(jì)約4,470萬(wàn)美元。此次事件的根本原因是缺少對(duì)用戶參數(shù)輸入的驗(yàn)證操作，使得黑客能夠操縱并獲得未經(jīng)授權(quán)的Tokens批準(zhǔn)。Penpie
2024年9月4日，去中心化流動(dòng)性收益項(xiàng)目Penpie遭攻擊，黑客獲利約2,735萬(wàn)美元。據(jù)慢霧安全團(tuán)隊(duì)分析，此次事件的核心在于Penpie在注冊(cè)新的Pendle市場(chǎng)時(shí)，錯(cuò)誤地假設(shè)所有由PendleFinance創(chuàng)建的市場(chǎng)都是合法的。然而，PendleFinance的市場(chǎng)創(chuàng)建流程是開(kāi)放式的，允許任何人創(chuàng)建市場(chǎng)，并且其中的關(guān)鍵參數(shù)如SY合約地址，可以由用戶自定義。利用這一點(diǎn)，黑客創(chuàng)建了一個(gè)含有惡意SY合約的市場(chǎng)合約，并利用Penpie池子在獲取獎(jiǎng)勵(lì)時(shí)需要對(duì)外部SY合約調(diào)用的機(jī)制，借助閃電貸為市場(chǎng)和池子添加了大量的流動(dòng)性，人為放大了獎(jiǎng)勵(lì)數(shù)額，從而獲利。FixedFloat
2024年2月16日，根據(jù)鏈上數(shù)據(jù)，Crypto交易平臺(tái)FixedFloat遭攻擊，損失約409枚BTC（約2,117萬(wàn)美元）和1,728枚ETH（約485萬(wàn)美元）。FixedFloat針對(duì)此次攻擊事件表示：這次黑客攻擊是由于安全結(jié)構(gòu)中的漏洞引起的外部攻擊，并不是由員工所實(shí)施，用戶資金并未受影響。4月2日，F(xiàn)ixedFloat在X平臺(tái)表示其再次遭受了2月16日攻擊事件的黑客的攻擊。黑客設(shè)法利用了FixedFloat使用的第三方服務(wù)中的漏洞。這兩次攻擊事件給FixedFloat造成總計(jì)約2,900萬(wàn)美元損失。RugPull
RugPull是一種*騙*局，其本質(zhì)是惡意項(xiàng)目方造勢(shì)吸引用戶投資，等到時(shí)機(jī)成熟便“拉毯子”，卷款跑路。根據(jù)慢霧Blockchain被黑事件檔案庫(kù)(SlowMistHacked)統(tǒng)計(jì)，2024年RugPull事件達(dá)58起，導(dǎo)致?lián)p失約1.06億美元。
（2024損失Top10的跑路事件）
隨著Meme幣熱潮的到來(lái)，許多用戶在投機(jī)和FOMO情緒驅(qū)使下，忽視了潛在風(fēng)險(xiǎn)。一些發(fā)幣方甚至無(wú)需向用戶描繪愿景或提供白皮書(shū)，僅憑一個(gè)概念或口號(hào)，便能炒作出熱度吸引用戶購(gòu)買(mǎi)Tokens，而低廉的作惡成本導(dǎo)致跑路事件層出不窮。以下是惡意項(xiàng)目方的常見(jiàn)操作：
虛假宣傳和造勢(shì)：通過(guò)夸大技術(shù)實(shí)力或市場(chǎng)潛力，以及虛假合作或名人背書(shū)等手段，吸引用戶投資。
操控Tokens價(jià)格：項(xiàng)目方通常會(huì)預(yù)先持有大量Tokens，通過(guò)操控市場(chǎng)價(jià)格制造繁榮假象，吸引更多資金入場(chǎng)。
Tokens合約設(shè)置漏洞：通過(guò)在智能合約中預(yù)留后門(mén)，項(xiàng)目方可以隨時(shí)提取資金或銷(xiāo)毀流動(dòng)性池。
人間蒸發(fā)：在跑路前夕，項(xiàng)目方往往會(huì)關(guān)閉官方網(wǎng)站、社交賬號(hào)或解散社群，切斷與投資者的聯(lián)系。了解惡意項(xiàng)目方的操作手法后，我們可以發(fā)現(xiàn)，這些*騙*局往往利用的是用戶的投機(jī)心理和對(duì)高收益的渴望。要避免成為這類(lèi)*騙*局的受害者，關(guān)鍵是保持警惕，增強(qiáng)防范和驗(yàn)證能力，以下方法可以幫助用戶盡可能避免參與到會(huì)跑路的項(xiàng)目：
審查項(xiàng)目背景：關(guān)注團(tuán)隊(duì)成員的真實(shí)性和背景，查看其過(guò)往項(xiàng)目是否有不良記錄。
是否經(jīng)過(guò)審計(jì)：查看項(xiàng)目是否經(jīng)過(guò)專(zhuān)業(yè)的安全審計(jì)。
關(guān)注社區(qū)反饋：加入項(xiàng)目的社交媒體或論壇，觀察社區(qū)的活躍度和討論內(nèi)容，警惕過(guò)多的吹捧或不合理承諾。
分散投資：不要把所有資金投入一個(gè)項(xiàng)目，避免因單一項(xiàng)目造成重大損失。
警惕高收益誘惑：天上不會(huì)掉餡餅，高收益往往伴隨高風(fēng)險(xiǎn)，對(duì)于“快速翻倍”，“零風(fēng)險(xiǎn)”等不切實(shí)際的承諾需格外謹(jǐn)慎。
完整報(bào)告的鏈接如下，也可直接點(diǎn)擊閱讀原文跳轉(zhuǎn)，歡迎閱讀并分享:)
中文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(CN).pdf
英文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(EN).pdf
免責(zé)聲明:2024 Blockchain安全與反*洗*錢(qián)年度報(bào)告解讀之安全態(tài)勢(shì)文章轉(zhuǎn)發(fā)自互聯(lián)網(wǎng)，版權(quán)歸其所有。
文章內(nèi)容不代表本站立場(chǎng)和任何投資暗示。加密貨幣市場(chǎng)極其波動(dòng)，風(fēng)險(xiǎn)很高，可能不適合所有投資者。在投資加密貨幣之前，請(qǐng)確保自己充分了解市場(chǎng)和投資的風(fēng)險(xiǎn)，并考慮自己的財(cái)務(wù)狀況和風(fēng)險(xiǎn)承受能力。此外，請(qǐng)遵循您所在國(guó)家的法律法規(guī)，以及遵守交易所和錢(qián)包提供商的規(guī)定。對(duì)于任何因使用加密貨幣所造成的投資損失或其他損失，本站不承擔(dān)任何責(zé)任。
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
2025-4-27
Copyright © 2021.Company 元宇宙YITB.COM All rights reserved.元宇宙YITB.COM