作者：W3C DAO
Web3是一个去中心化的网络，它利用区块链、加密货币、NFT和DeFi等技术，为用户提供更多的自由、隐私和创新。然而，Web3也不是完美的，它也存在着许多的安全风险和局，让不少用户遭受了损失和伤害。
01 Poly Network黑客攻击
2022年8月10日，跨链协议Poly Network遭到了史上最大规模的黑客攻击，导致超过6亿美元的资金被盗。黑客利用了Poly Network在不同区块链之间转移资产时的漏洞，从以太坊、波场和币安智能链上分别转走了2.7亿、2.5亿和8500万美元的代币。
这起事件引起了整个Web3社区的震惊和关注，许多项目方和交易所纷纷表示愿意协助追回被盗资金。令人意外的是，黑客在攻击后不久就开始与Poly Network进行沟通，并表示愿意归还部分资金。截至2022年8月23日，黑客已经归还了超过3.4亿美元的资金，并表示剩余的资金将由一个多签名钱包管理。
为了避免这种局，用户应该谨慎选择跨链协议，并检查其是否有经过专业的审计和测试。用户也应该注意跨链协议的安全性和可靠性，是否有足够的保险或赔偿机制。此外，用户应该控制自己的跨链转账额度，不要将过多的资金放在一个协议上。
02 Squid Game代币拉盘跑路
Chainlink已在Code4rena启动30万美元奖金池的CCIP众包审计:5月27日消息，Chainlink的跨链互操作性协议（CCIP）已在Code4rena平台启动30万美元奖金池的众包审计，将持续到6月12日，除了多次独立审计外，还计划进一步加强CCIP代码库，为初始主网启动做准备。[2023/5/27 9:45:45]
2022年10月25日，一款以Netflix热播剧《Squid Game》为主题的Web3游戏项目发布了自己的代币Squid。该项目声称将通过智能合约模拟剧中的六个游戏，并让玩家用Squid代币参与竞争。该项目迅速吸引了大量关注和投资，Squid代币在短短几天内涨幅超过8万倍，市值一度达到28亿美元。
然而，在2022年11月1日，该项目突然暴跌99%，市值缩水至300万美元。原来，该项目是一个典型的拉盘跑路局，项目方在吸引了大量投资者后，将项目中的资金全部提走，并关闭了网站和社交媒体账号。更糟糕的是，由于Squid代币设置了一个只能买不能卖的机制，投资者无法及时退出或兑换其他代币。
为了避免这种局，用户应该对项目进行充分的调查和分析，比如查看项目的代码是否经过审计、团队成员是否公开身份、代币分配是否合理、社区反馈是否积极等。用户也应该注意项目是否有过度炒作、价格波动异常、锁仓机制不清晰等风险信号。
好莱坞明星Bill Murray在Coinbase NFT市场购入DeadFellaz #5778:金色财经报道，链上数据显示，好莱坞明星 Bill Murray 通过 Coinbase NFT 市场以 1.5 ETH 的价格购入 DeadFellaz #5778，在设计方面，该 NFT具有几个罕见的特征，包括：爬行动物的眼睛、恐惧和高尔夫球背心。截至目前，Bill Murray 已持有 12 个 NFT，包括 CryptoPunks、World of Women、Gutter Cat Gang 和 Cool Cats 等。另据最新交易数据显示，截至目前 DeadFellaz NFT 系列交易额达到 9348 万美元，市值约为 4505 万美元，地板价为 1.09 ETH，24 小时涨幅为 1.49%。[2022/7/17 2:18:29]
03 Beeple NFT钓鱼局
2022年3月11日，知名数字艺术家Beeple在佳士得拍卖会上以6930万美元的价格，创造了NFT（非同质化代币）的最高成交纪录。这一事件引发了全球对NFT的热潮，也让Beeple成为了一个备受关注的名字。然而，就在这时，一些子利用了Beeple的名气，发起了一场针对NFT爱好者的钓鱼局。
子通过伪造Beeple的推特账号，宣布将免费赠送一些NFT作品给粉丝，只要他们点击一个链接，并输入自己的MetaMask钱包密码。不幸的是，有不少人上当受，导致他们的钱包被盗取了所有的资金和代币。
BW.io主流币BTC等在CoinMarketCap评测获得满分:据官方消息，CoinMarkrtCap对BW.io(币网)进行了置信度指标评测，该指标用以评测主流币交易对交易量的真实度，深度及流动性，100%为最高等级。BW.io(币网)BTC，BCHABC等主流币交易对的置信度报告均为100%满分。
注：置信度指标的判定条件为上市条件、市场数据和加密资产排名、市场对排名和信心指数、网络流量系数，以及交易所排名。
同时BW现已开通了合约实盘交易，支持1-100倍杠杆自由开仓，支持12个币种，合理价格机制，稳定无插针，0分摊+保证金机制，用户盈利自由结算。[2020/6/5]
为了避免这种局，用户应该保护好自己的私钥、助记词、密码等，不要向任何人透露或输入。用户也应该仔细检查网站、邮件、消息或电话的真实性，比如是否有拼写错误、是否有安全证书、是否与官方信息一致等。
04 Bitconnect庞氏局
Bitconnect是一个于2016年推出的Web3平台，它声称可以让用户通过借贷和交易其代币BCC来获得高达40%的月收益。
该平台还设立了一个多层次的推荐计划，来奖励那些推荐新用户加入的人。由于Bitconnect承诺了过于美好的回报，它很快吸引了数以万计的投资者，BCC代币在2017年年底达到了4.3亿美元的市值。
动态 | 邮件显示：英国用户在Coinbase存款必须超过1000英镑:7月16日，美国加密货币交易所Coinbase的工作人员在私人邮件中证实，该公司突然要求英国账户持有人的最低存款金额为1000英镑(合1240美元)。Coinbase暂停在英国更快的支付存款，他们说，Coinbase现在已经暂停了这项服务。Coinbase此前允许英国用户通过该国更快的支付结算系统存入法币资金。相反，用户必须使用标准的国际转账选项，通过SWIFT汇款，最低支付金额为1000英镑。（cointelegraph）[2019/7/17]
然而，在2018年1月16日，Bitconnect突然宣布关闭其借贷和交易平台，并停止发行BCC代币。原来，Bitconnect是一个典型的庞氏局，它利用新投资者的资金来支付旧投资者的收益，并没有真正的商业模式或价值创造。当新投资者不足以支撑旧投资者时，局就崩溃了，导致大部分人损失惨重。
为了避免这种局，用户应该警惕那些过于美好的承诺，比如无风险、保本保息、每日分红等。用户也应该了解项目的收益来源，是否有真实的商业模式或价值创造。用户还应该检查项目的合法性，是否有合规的许可证或监管机构的认可。
05 重入攻击
2016年6月17日，著名的DAO被攻击事件发生。以太坊上的一个去中心化自治组织The DAO被黑客攻击，市值五千万美元的以太币被转移。当日，以太坊价格从19.42美元跌至11.32美元，跌幅41%。黑客利用了The DAO智能合约中一个名为splitDAO的函数的漏洞，该函数允许用户退出The DAO并获得相应的以太坊代币。黑客在退出The DAO的同时，多次调用了splitDAO函数，从而在合约更新自己的余额之前，多次提取了以太坊代币。
比特币在CoinDesk重回17000美元之上 创下新高:据Coindesk消息，比特币的价格已经突破17000美元，创下CoinDesk BPI的新高。目前BPI已攀升至17,382.64美元，高于12月7日的17,364.56美元。[2017/12/12]
而后，以太坊社区发起了一项是否支持硬分叉的投票，近 97% 的 ETH 持有者投出了赞成票，只有少数人不同意分叉，最终硬分叉方案一致通过，硬分叉的结果就是--以太经典ETC。
重入攻击是指一种利用智能合约在执行过程中可以被多次调用的特性，来重复执行某些操作，从而窃取或操纵资金的方式。重入攻击通常发生在智能合约在转移资金之前没有更新自己的状态或余额，导致黑客可以利用同一个交易来多次请求转账。
06 闪电贷攻击
2022年2月，有一个叫做PancakeBunny的DeFi平台遭到了一次闪电贷攻击，导致其代币BUNNY的价格暴跌了95%。黑客利用了PancakeBunny的流动性挖矿池的设计缺陷，通过闪电贷借入大量的BNB代币，并用它们来换取BUNNY代币。然后，黑客又将BUNNY代币兑换成BNB代币，并还清了闪电贷。这样一来，黑客就获得了大量的BNB代币，而PancakeBunny的流动性池和市场则被严重扰乱。
闪电贷是指一种利用智能合约在一个区块内完成借贷和还款的操作，不需要任何抵押或信用的方式。闪电贷可以为用户提供一些有趣和创新的金融策略，比如套利、杠杆、流动性挖矿等。然而，闪电贷也可以被用来发动攻击，利用一些去中心化金融（DeFi）平台的漏洞或缺陷，来窃取或操纵资金。
07 BadgerDAO黑客攻击
这是一起发生在2022年12月2日的去中心化金融（DeFi）项目BadgerDAO遭到黑客攻击的事件，导致超过1.19亿美元的资金被盗。
黑客利用了BadgerDAO的网站和DNS服务器的漏洞，将其劫持并重定向到一个伪造的网站。在这个网站上，黑客诱用户连接自己的MetaMask钱包，并授权一个恶意的智能合约来转移用户的资金。这是一种比较传统的网络钓鱼攻击，但却对BadgerDAO造成了巨大的损失。
08 Meerkat Finance跑路
2022年3月4日，基于币安智能链（BSC）的DeFi项目Meerkat Finance发起的跑路局，导致大约3100万美元的用户资金被盗。
Meerkat Finance是一个提供流动性挖矿和收益优化服务的项目，它声称可以让用户通过存入或借出代币来获得高额收益。然而，在项目上线不到一天后，Meerkat Finance就宣布遭到了黑客攻击，并将其网站和社交媒体账号全部删除。
事实上，这是一个精心策划的局，Meerkat Finance的开发者利用自己对合约代码的控制权，修改了合约中存储私钥的变量，并将用户存入的代币转移走。这是BSC上最大规模的局之一，也引发了对BSC安全性和可靠性的质疑。
09 RugZombie局
2022年10月31日，基于BSC的NFT项目RugZombie发起的跑路局，导致大约1000万美元的用户资金被盗。
RugZombie是一个声称可以让用户通过购买和铸造NFT来复活被“拉毯”的代币项目的平台。然而，在项目方宣布将在10月31日发布一个新的NFT系列之前，他们突然将流动性池中的所有资金转走，并删除了所有的社交媒体账号和网站。这导致RugZombie代币的价格暴跌，许多投资者无法出售自己的代币，损失惨重。
10 稳定币攻击
2022年4月5日，去中心化借贷平台Liquity被攻击，导致大约1100万美元的用户资金被盗。
Liquity是一个基于以太坊的借贷平台，它声称可以让用户通过抵押ETH来借出其自有稳定币LUSD，并获得其治理代币LQTY作为奖励。
然而，在项目上线后不久，就有人发现了一个漏洞，可以让用户通过利用Liquity合约中的一个函数来创建无限量的LUSD，并将它们兑换成其他代币。
这导致了LUSD代币的价格暴跌，以及Liquity合约中存储的ETH被大量转移走。项目方声称是由于合约代码中存在一个错误导致的漏洞，并承诺将尽快修复并赔偿受影响的用户。然而，有分析显示，项目方在漏洞发生前就已经将部分资金转移走了。
总结
Web3是一种新兴的技术和金融领域，它们有着巨大的潜力和创新，但也伴随着很多的风险和挑战。
在这篇文章中，分别介绍了十个Web3安全事件，这些事件涉及了不同的平台、项目、通证和合约，但都反映了一些共同的问题，比如代码质量、审计机制、用户教育、监管缺失等。通过分析这些事件的原因、过程和后果，给出了一些防范和应对的建议，比如谨慎选择项目、保护好私钥、检查网站真实性、警惕过度承诺等。这篇文章对于Web3的爱好者和投资者来说，是一份很有价值的参考资料，可以帮助他们提高自己的安全意识和能力。
W3C DAO
个人专栏
阅读更多
金色财经
金色荐读
区块链骑士
金色财经 善欧巴
Block unicorn
Foresight News
深潮TechFlow
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。