区块链:创宇区块链9月安全月报-ODAILY

前言

9月结束后我们迎来了十一小长假。长假过后10月工作日第一天,知道创宇区块链安全实验室为大家整理了9月安全攻击事件。

9月,攻击事件虽然大量减少,但所涉及金额却并未减少。据知道创宇区块链安全实验室数据显示:该月发生的安全事件超26起,其中钓鱼攻击事件增加迅猛,本月造成损失最为严重的当为加密做市商Wintermute因私钥泄露事件,损失高达1.6亿美元。本月安全事件造成的损失总金额共计约167,400,000美元。

数据分析

1、占比分析:

分析发现,网络钓鱼安全事件在9月占比最多,高达44%,请大家警惕钓鱼注意保护个人资产。值得高兴的是,9月跑路局大幅度减少仅占比8%。

2、对比数据分析:

美股三大指数持续下挫,抹平日内涨幅:美股三大指数持续下挫,抹平日内涨幅,现基本持平。[2021/6/10 23:28:46]

通过对比我们可以发现,本月安全攻击事件除了网络钓鱼类,其他类型数量均为减少,尤其是跑路局由上月17起减少至2起。

3、2022年月安全趋势:

本月安全数量大幅度下降,成为下半年以来最少攻击事件月,应该与以太坊POS共识机制合并有较大的关系,后续如何发展我们将持续关注。

以下是知道创宇区块链安全实验室对9月各类型安全资讯的总结,并就其暴露出的问题进行探讨。

DeFi安全类型事件

9月2日,隐私项目ShadowFi遭遇黑客攻击,其官方TokenSDF下跌98.5%。攻击者利用SDF的漏洞允许任何人烧毁Token,获利约1078枚BNB,目前被盗资金已被转入TornadoCash。

美股三大股指收盘上涨,纳指与标普500指数盘中续创历史新高:标普500指数8月26日(周三)收盘上涨35.10点,涨幅1.02%,报3478.73点;

纳斯达克指数8月26日(周三)收盘上涨198.60点,涨幅1.73%,报11665.06点;

道琼斯指数8月26日(周三)收盘上涨83.50点,涨幅0.30%,报28331.92点。[2020/8/27]

9月4日,RugPullFinder最新推出的NFT项目「BadGuys」在免费铸造期间遭到漏洞利用攻击,两名用户利用其NFT合约漏洞铸造了450枚NFT,而不是按照最初设定的每个钱包仅能分配1枚NFT。这次漏洞是因为「mint」函数缺少所需的安全检查导致,该团队已在社交媒体上做出道歉并称将支付2.5ETH赏金来回购多铸造的NFT。

9月4日,BNBChain上聚合DAO社区DAOOfficials疑似被攻击,此外链上数据显示攻击者或获利逾50万美元。

9月7日,攻击者通过AVAX闪电贷攻击获利约37万USDC。攻击者可能影响的协议包括NereusFinance、TraderJoe、CurveFinance。

美股三大股指收盘均下跌:标普500指数4月30日(周四)收盘下跌27.10点,跌幅0.92%,报2912.43点;

纳斯达克指数4月30日(周四)收盘下跌25.20点,跌幅0.28%,报8889.55点;

道琼斯指数4月30日(周四)收盘下跌288.10点,跌幅1.17%,报24345.72点。[2020/5/1]

9月8日,BNBChian链上NewFreeDao项目遭到闪电贷攻击,NFD价格下跌超99%,损失4500枚BNB

9月18日,攻击者首先在ETH主网上通过omniBridge转移WETH,随后将相同的交易内容在ETHW链上进行了重放,获取了等额的ETHW。目前攻击者已经转移了741ETHW到交易所。Beosin安全团队建议如果项目方合约里面预设了chainID,请先手动将chainId更新,即使项目方决定不支持ETHW,但是由于无法彻底隔绝通过跨链桥之间的资产流动,建议都在ETHW链上更新。

9月20日,加密做市商Wintermute因私钥泄露被黑客攻击损失1.6亿美元。

三大平台币2涨1跌 OKB24h上涨3.32%:金色财经数据显示,截至目前主流平台币种概况如下:BNB现价15.6708美元,24h上涨3.25%;OKB现价4.757美元,24h上涨3.32%;HT现价3.8393美元,24h下跌0.25%。[2020/4/23]

局安全类型事件

9月16日,GigaChadsDAO项目疑似出现Rugpull,CHAO代币价格暴跌80%。合约部署者铸造了大量代币然后将其出售。

9月26日,在BNBChain上发现抢先交易机器人局,其中子教用户如何开发「抢先交易」机器人(Front-runbot)来赚钱,但它提供的合约有一个后门,部署完成后,受害者的所有代币都会转移到攻击者的地址。

网络钓鱼安全类型事件

9月6日,ArtsDAO项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月6日,Dictators项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

声音 | 安徽省政协委员:搭建区块链创新交流、创新研发、产业应用三大平台:据江淮时报消息,在安徽省政协十二届三次会议中,政协委员朱新中代表致公党安徽省委发言表示,安徽与兄弟省市相比,区块链技术研发及产业推广才刚刚起步。 一是区块链底层技术研究上,尚有明显不足。二是政策扶持和科技引导上,尚缺少顶层设计。三是区块链产业发展上,与经济社会发展尚不相匹配。他建议,加强基础研究,推动自主创新有新突破;加快出台相关政策,开展区块链政务示范应用;搭建区块链创新交流、区块链创新研发、区块链产业应用三大平台,推广多维度应用;加强试点示范,促进区块链技术与实体产业深度融合。[2020/1/12]

9月8日,元宇宙平台TheSandbox项目Instagram账号被入侵,thesandboxesgame.com是钓鱼网站。请用户不要点击钓鱼网站。

9月12日,AlphaCentauriKid官方Discord服务器收到钓鱼邮件攻击,请不要点击,铸造或批准任何交易。

9月14日,BAYC#8941疑似被盗,NFT被转入0x18e541...D0F4地址,被标记为钓鱼地址。

9月14日,ID为@FreddyAdu的经过认证的推特账号遭到黑客攻击,攻击者将其伪造为LooksRare推特并发布虚假空投网站信息,目前仍未恢复。

9月18日,AlterEgoHunters官方表示其Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日,Dystians的Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日,NFT项目pump?kin发推称,Discord服务器和Discord管理账户遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月20日,印度加密交易平台CoinDCXTwitter帐号疑似被入侵,并发布欺诈性链接。

9月22日,SuspiciousUnicornSociety项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月28日,SOLDecoder项目Discord服务器遭攻击。请社区用户不要点击、铸造或批准任何交易。

其他安全事件类型

9月2日,去中心化流动性协议KyberNetwork在推特上披露,该协议因前端漏洞利用导致其用户损失26.5万美元资金。该漏洞源于KyberSwap网站中的恶意GoogleTagManager代码,攻击者的目标是鲸鱼钱包,通过插入虚假批准获得了转移用户资金的权限。

9月9日,零知识证明研发机构StarkWare发推称,其扩容引擎StarkExV4.5被VladBochok和IhorBarenblat指出存在漏洞,在运营者控制的条件下,该漏洞可使用户能够从一个冻结系统的Vault中双花。不过,目前该漏洞已被修复。

9月18日,通过Profanity创建的某些以太坊地址存在严重漏洞,黑客利用Profanity漏洞获利330万美元。

9月20日,加密货币投资服务银行Revolut已经证实,它受到了一次高度针对性的网络攻击,黑客可以访问数万名客户的个人详细信息。

9月26日,0x9731F开头地址从使用Profanity工具生成的以太坊靓号地址中窃取95万美元的加密货币,攻击者已将将732枚以太坊转移至混币器。

总结

从Defi的角度来看,所涉及的安全事件中,闪电贷攻击和重入攻击仍旧最为常见,所以说合约的审计是非常有比较的。而加密做市商Wintermute安全事件提醒我们私钥的重要性,一定要保护好自己的私钥,所以在合约本身的安全之外,我们也需要关注合规性安全。知道创宇区块链安全实验室在此提醒,对合约安全有必要做到常规审计和复合审计,保障合约免受其他攻击影响,同时高度重视函数权限问题,以防止高权限函数被任意调用。

从网络钓鱼以及局跑路角度来看,跑路局在本月有所下降,但仍然不可放松警惕,需要时时刻刻对项目及项目方进行细致的考察;而网络钓鱼逐月增加,可以看出攻击者认为网络钓鱼更容易到用户从而获利,作为用户要多加小心,不可随意信任他人而点击相关内容。

山河远阔,国泰民安,祝福虽晚但心意不晚,祖国生日快乐!

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

USDTUSD:Tether项目周报(0116-0122)-ODAILY

NearNetwork上的USDT使用将变得更简单Tether很高兴地宣布,我们已经为希望通过Bitfinex进行在Near区块链上的USDT转账的用户简化了操作,并增强了用户体验.

[0:0ms0-9:294ms