成都鏈安：9月典型安全事件超44起，整體風險評級“高”_區塊鏈:DEFI

據成都鏈安『安全態勢感知系統』數據監測顯示：2020年9月，在區塊鏈領域，多類型安全事件頻繁發生，整體形勢不容樂觀。根據不完全統計，本月出現的典型安全事件超過44起，相比上個月有所增加，成為今年歷史最高。典型安全事件統計

區塊鏈行業起步不久，技術發展整體處于探索階段。特別是，隨著DeFi的市場走紅，各種項目雨后春筍般崛起，技術底層、邏輯結構等諸多方面的鋪設相對薄弱，安全風險漏洞極易出現。因此，對于區塊鏈生態的每個環節而言，安全問題都必須放在首位，不容忽視。交易所方面共發生『6』起較典型的安全事件019月2日，首爾對韓國規模最大的加密貨幣交易所Bithumb進行搜查。該交易所被指控預售其價值300億韓元的BXA代幣，但從未將其上市，讓投資者遭受損失。02歐洲交易所ETERBASE于周一晚間被盜，涉及BTC、ETH/ERC-20、XRP、TRX、XTZ和ALGO相關的六個地址。該交易所沒有透露黑客攻擊造成的具體損失金額，但根據TheBlockResearch的統計，該交易所熱錢包損失超500萬美元。相關情況已報告給執法部門，該交易所正在密切配合調查。后續跟蹤資金轉移情況發現，目前大部分被盜資金在幣安等交易所。03日本加密貨幣交易所Fisco在美國法院提起了針對幣安的訴訟。Fisco聲稱，在2018年Zaif遭遇黑客入侵丟失6300萬美元的加密貨幣后，幣安為黑客洗錢提供了便利。04英國加密交易所Covesting發推稱，作為對庫幣安全漏洞的回應，以及保護受影響的COV代幣持有者，Covesting團隊已經凍結被舉報地址中的COV代幣。05斯洛伐克加密貨幣交易所Eterbase遭受黑客攻擊，共計有540萬美元的數字貨幣被盜。交易所稱，其六個熱錢包已被盜用，并且虹吸了比特幣，以太坊，Ripple，Algorand，Tezos和Tron的資金。06據庫幣官方公告，2020年9月26日凌晨03:05:37，官方發現了一次有計劃的黑客攻擊，根據目前的內部安全審計結果判斷，黑客通過獲取到庫幣早期熱錢包的備份鏡像發起提現攻擊，通過此次攻擊提走了部分熱錢包中的比特幣和ERC-20等代幣，價值約4800個比特幣，約占平臺總持有資金量的5%。

成都鏈安：正在追查Ronin攻擊事件的資金去向:據成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，Axie Infinity側鏈Ronin遭到攻擊，17.36萬枚ETH和2550萬USDC被盜，總金額約合價值為6.15億美元。在這里，成都鏈安對此類跨鏈橋項目給出以下建議:

1.注意簽名服務器的安全性；

2.簽名服務在相關業務下線時，應及時更新策略，關閉對應的服務模塊，并且可以考慮棄用對應的簽名賬戶地址；

3.多簽驗證時，多簽服務之間應該邏輯隔離，獨立對簽名內容進行驗證，不能出現部分驗證者能夠直接請求其它驗證者進行簽名而不用經過驗證的情況；

4.項目方應實時監控項目資金異常情況。[2022/3/30 14:25:56]

DeFi方面共發生『14』起較典型的安全事件01ZenGo的研究人員已正確披露了在Diogenes協議證明中發現的漏洞。該證明旨在為以太坊2.0隨機信標鏈的可驗證延遲函數提供原始熵。02以太坊賬戶疑遭遇GasPrice攻擊，損失115個ETH。該用戶從交易所提現115.299個ETH到以太坊賬戶，到賬后被莫名其妙迅速轉出到另一個賬號。蹊蹺的是對方實際只收到6.46個以太坊，而轉賬的Gas費用卻高達108.83個以太坊，約36萬人民幣。03SushiSwap仿盤YUNoFinance(YUNO)與KIMCHI.finance(KIMCHI)智能合約均存在漏洞。智能合約擁有者可以利用漏洞，無限制地增發項目對應的代幣數目，繼而導致通脹并最終崩潰。049月3日晚間，以太坊研發者PhilippeCastonguay發推稱，DeFi項目BaconSwap和shroom.finance均存在時間鎖定漏洞，將允許項目所有者在沒有時間鎖定的情況下無限增發代幣。05BlockstreamResearch團隊宣布已經開發出一種解決方案MuSig-DN，可用于保護MuSig多簽方案的用戶免遭由惡意隨機數生成器和虛擬機重置攻擊導致的密鑰泄露攻擊。06開發人員在SushiSwap中發現了主要的治理缺陷，SushiSwap似乎很容易受到漏洞的攻擊，這個漏洞可以在不需要獲得新代幣的情況下成倍增加某人的治理能力。07EOSDeFi流動性挖礦項目EMD合約emeraldmine1的大量質押資金被轉移。其中，USDT正在通過DeFibox幣幣交易等渠道進行轉賣。08YFI仿盤SoftYearn的一名用戶因rebase機制漏洞用200美元獲得了25萬美元的回報。09EOS生態DeFi流動性挖礦項目“珊瑚”的wRAM遭到黑客攻擊，損失逾12萬EOS。截至9月10日已經有4.6萬個EOS被轉移至ChangeNOW進行洗錢。109月14日，bZx官方發推特稱，已經對iToken合約代碼出現的漏洞進行修復，并且協議已恢復正常運行。11DeFi穩定幣協議Lien發布公告表示，團隊的審計人員發現一個LienApp中的漏洞，決定暫時維護平臺以防止漏洞被利用。129月23日消息，DeFiPulse周二晚在Twitter上表示，已識別漏洞并修復，并且已更正了歷史數據。139月23日消息，此前被爆漏洞的DeFi項目Soda協議已于近日宣布修復漏洞，且新部署的智能合約預計9月22日21點生效。截至到9月23日，Soda協議的SoETH/WETH資金池內尚有等值ETH的2156個SoETH。149月29日，根據bluekirbyfi推特消息，yearn.finance創始人AndreCronje剛推出的游戲項目Eminence遭遇“Flash貸款”攻擊，黑客將800萬美元的資金返還給了yearn部署者合約。

LLE智能合約已通過Beosin(成都鏈安）的安全審計:據官方消息，Beosin（成都鏈安）今日已完成LLE智能合約項目的安全審計服務。

獵豹金融生態系統（Leopard lending ecology）是在以太坊區塊鏈上的智能協議，以該協議為中心建立貨幣服務市場，服務市場是基于資產借貸需求，以計算得出利率。資產的供應商直接與協議進行交互，從而賺取浮動利率，而無需等待協商利率或抵押品等條款。

創始人Willians表示：我們LLE智能合約的整體設計清晰，邏輯縝密，代碼安全可靠，具備了區塊鏈上頂級去中心化金融項目條件之一。

合約地址：0xa1521aA6FE752195418ddbADB5A0c331608416B1；

審計報告編號：202009222010。[2020/9/24]

Beosin評論本月DeFi項目安全問題頻繁暴露，技術代碼、業務邏輯等諸多方面對DeFi安全而言是不可忽視的漏洞多發地帶。成都鏈安再次呼吁各大項目方，在項目上線之前做好安全審計工作。同時，建議投資者注意查看安全審計報告，投資前謹慎選擇項目方。詐騙跑路/加密騙局方面共發生『3』起較典型安全事件019月26日，名為GemSwap的SushiSwap仿盤項目被曝跑路，LP被卷走。查詢發現，該項目曾發推自曝其遭受了“whatitdobb”開發者的攻擊。據了解，發起攻擊的開發者在流動性遷移完成之前就獲得了相關許可，能夠將流動池中的代幣取走，具體損失尚不明確。029月3日，德克薩斯州證券委員會(TSSB)專員TravisJ.Iles對兩起名為ForexBirds和PEKUniverse的加密騙局發出了緊急停牌令。他們被控欺詐發行與外匯(forex)和加密貨幣相關的證券。ForexBirds涉嫌向投資者承諾高達11%的收益，其存款最高可達100萬美元。03法國金融市場管理局發布了一份新的投資網站清單，這些網站沒有在該國境內運營的授權，其中包括所謂的數字資產服務提供商。據稱應用程序BitcoinFrance代表其客戶在加密貨幣市場進行交易，每天產生1000美元的收入，且沒有任何風險。很明顯，這些描述帶有投資欺詐的特征。

成都鏈安CMO：交易所需建設一套完整的資金內控系統:3月11日晚8點，成都鏈安CMO Adolfo Gao做客“抹茶周三見”時發表觀點：交易所需建設一套完整的資金內控系統，并對每筆資金的出入都應該做好審核和記錄。此外他還指出，關鍵私鑰和轉賬授權的防護也是重中之重。成都鏈安科技是最早專門從事區塊鏈安全的公司，由前海母基金，聯想創投，復星國際，分布式資本等知名企業和創投戰略投資，電子科技大學楊霞教授，郭文生教授，高子揚博士聯合創立。“抹茶周三見”是MXC抹茶推出的一檔AMA活動，不定期邀請重量級嘉賓在周三進行分享。[2020/3/11]

勒索軟件/挖礦木馬方面共發生『9』起較典型安全事件01騰訊安全威脅情報中心檢測到新型挖礦木馬家族MrbMiner，黑客通過SQLServer服務器弱口令爆破入侵，爆破成功后在目標系統釋放C#語言編寫的木馬assm.exe，進一步通過該木馬與C2服務器通信，然后下載門羅幣挖礦木馬并維持挖礦進程。02特斯拉創始人ElonMusk埃在一條推文中證實，俄羅斯男子EgorIgorevichKriuchkov用100萬美元比特幣賄賂內華達州特斯拉工廠一名員工，以便在特斯拉的計算機網絡上安裝勒索軟件。03阿根廷官方移民局DirecciónNacionaldeMigraciones遭遇Netwalker勒索軟件攻擊，暫時停止了出入該國的邊境。黑客要求贖金400萬美元。阿根廷政府拒絕與黑客談判，也不會支付贖金。04黑客向以色列納斯達克上市無線芯片和攝像頭傳感器制造商TowerSemiconductorLtd進行勒索軟件攻擊，并索要數十萬美元比特幣贖金。05智利三大銀行之一的BancoEstado銀行7日不得不關閉其全國性業務，原因是受到了REvil勒索軟件的網絡攻擊。據悉，REvil以拍賣在攻擊中竊取的數據而聞名，并經常要求使用Monero(XMR)支付贖金。06動視暴雪《使命召喚：戰區》的玩家抱怨帳戶被盜。在某些情況下，黑客要求進行比特幣支付以贖回游戲賬戶。黑客提供的地址迄今為止已收到1.2BTC。07巴基斯坦最大的電力生產商K-Electric遭遇勒索軟件攻擊，黑客索要約770萬美元的比特幣贖金。08數據中心和托管巨頭Equinix遭到了Netwalker勒索軟件攻擊，威脅參與者要求450萬美元購買一個解密器，以防止泄露被盜數據。099月13日消息，不久前，杭州市高新區一家民營企業向機關報案，稱有人惡意攻擊該公司官網，并勒索1個比特幣。接到報案后，偵查機關很快鎖定了犯罪嫌疑人鐘某。濱江區檢察院以破壞計算機信息系統罪對鐘某提起公訴，鐘某被法院判處有期徒刑五年零六個月。

動態 | 成都鏈安：10月發生較典型安全事件共5起:據成都鏈安態勢感知平臺——Beosin?Eagle-Eye統計數據顯示，在過去一個月（10月）中，共發生5起較為典型的安全事件。其中包括：1.EOS鏈上本月內總共發生兩起攻擊事件：一是假EOS攻擊；二是游戲服務器解析參數問題。2.亞馬遜云服務平臺AWS被爆遭到了DDoS攻擊，并因此被迫中斷了服務。3.網頁加密貨幣錢包Safuwallet被黑客通過注入惡意代碼竊取了大量資金，并且殃及幣安。4.Cryptopia被盜資產開始轉移：一部分ETH流入知名DeFi借貸平臺Compound；另有數個ETH流入一個叫做DeFi 2.0的DApp項目。鑒于當前區塊鏈安全新形勢，Beosin成都鏈安在此提醒各鏈平臺需要增強安全意識，重視各類型安全風險，必要時可尋求安全公司合作，通過第三方技術支持，排查安全漏洞，加固安全防線；各錢包項目應進一步做好安全方面的審查，有意識地增強項目系統架構的安全性，并建立完善的應急處理機制。如發生資產損失，可借助安全公司的幫助，進行資產溯源追蹤；用戶在進行投資行為時需謹慎，遠離資金盤，切勿刀口舔血。[2019/10/31]

暗網方面共發生『2』起較典型安全事件019月2日消息，美國司法部于周二宣布暗網市場AlphaBay調解員BryanConnorHerrell被判處11年監禁，AlphaBay是一個可以通過Tor洋蔥路由器路由器進入的暗網違禁品市場。違法者使用加密貨幣如比特幣、門羅幣以太坊進行交易。02由美國司法部、和暗網聯合執法小組和歐洲刑警組織等多個組織共同執行的打擊暗網犯罪的行動中沒收超650萬美元現金和虛擬貨幣。其他方面共發生『10』起較典型安全事件01開發BitBox硬件錢包的瑞士公司ShiftCrypto透露，在Trezor和KeepKey硬件錢包中發現了一個漏洞，該漏洞允許攻擊者在不靠近設備的情況下持有用戶的加密貨幣以進行勒索。02瑞士硬件錢包提供商ShiftCrypto表示，Trezor和KeepKey硬件錢包中存在一個漏洞，可能會引發潛在的贖金攻擊。Trezor硬件錢包的制造商SatoshiLabs向ShiftCrypto支付了賞金，并表示在最近發布的升級中已經解決了這個問題。03風險投資家TimDraper此前聲稱購買BCH或為烏龍事件。9月5日凌晨TimDraper突發推特稱已購買BCH，并對RogerVer表示感謝。該條推文也引起了加密社區的關注。但OpenNode聯合創始人Jo?oAlmeida隨后證實，TimDraper推特賬戶已被泄露。049月9日早間，加密瀏覽器Brave官方發推宣布，已整合網絡安全公司PhishFort的開源解決方案，防止網絡釣魚攻擊。此后Brave將檢測加密騙局，并警告用戶有關的可疑域名。05目前有一個比特幣錢包成為了眾多黑客的攻擊對象，該錢包有69370枚BTC，價值7.14億美元。目前這個錢包還沒被人破解。069月16日，美國司法部、美國國土安全部和美國財政部外國資產控制辦公室宣布，已對兩名使用復雜的網絡釣魚活動從三個不同的加密貨幣交易所的客戶那里竊取至少1680萬美元的俄羅斯國民實施制裁。079月22日，加密衍生品交易所Deribit發推稱，凌晨遭遇DDOS攻擊，使得平臺服務器難以訪問。官方正在阻止攻擊。目前，DDOS攻擊已被阻止，官方已采取措施減少其他潛在問題。08閃電網絡大額通道wumbo存在漏洞，使攻擊者可以在幾乎不費力氣且零成本的情況下攻擊支付通道，或導致通道癱瘓兩周。09加密交易所Kraken的首席安全官NickPercoco宣布，已在Kraken上發布了四個新的安全增強功能，將從今天開始向該交易所的所有客戶開放。包括安全防護、安全檢查、設備批準和設備管理，其中“設備批準”功能將特別對抗網絡釣魚攻擊。109月25日，據外媒報道，一種名為Alien的新木馬病正在攻擊Android手機上的加密應用程序，被攻擊對象包括Coinbase、Blockchain.com和Luno。

聲音 | 成都鏈安創始人：區塊鏈領域存在六大安全漏洞，全球共損失90億美元:在2019上海區塊鏈國際周現場，成都鏈安科技有限公司創始人、電子科技大學副教授楊霞詳細分析了行業的六大安全問題。即系統漏洞引起的損失、用戶使用不當引起的問題、網絡犯罪、暗網黑市交易、洗錢，傳銷盤和資金盤。根據數據來看，系統漏洞引起的損失，今年以來，由區塊鏈漏洞引起的損失高達30多億美元。從2011年到2018年損失高達90多億美元。（華夏時報）[2019/9/17]

鑒于當前區塊鏈安全領域的新形勢，『成都鏈安』溫馨提示從總體上看，9月區塊鏈安全事件較8月份有所增加，整體安全事件發生數量較高。區塊鏈安全形勢依然嚴峻。本月DeFi項目仍是安全熱點話題，又有許多項目的智能合約被爆出漏洞，甚至一些已經被黑客攻擊利用，造成了損失。成都鏈安在此呼吁項目方，在進行合約代碼編寫時，一定要保持嚴謹的邏輯，在項目上線之前，尋找專業的安全公司做好安全審計工作。此外，本月發生的詐騙跑路事件較少，但是廣大用戶仍然不能放松警惕，在選擇項目的時候仍然需要保持謹慎，留心考察項目資質、安全審計報告等。

Tags：區塊鏈EFIDEFDEFI怎么做區塊鏈DEFI幣defibox幣有價值嗎一直跌XDEFI Wallet

區塊鏈