根据区块链安全审计公司Beosin旗下BeosinEagleEye安全风险监控、预警与阻断平台监测显示，11月2日消息，加密衍生品交易平台Deribit发布公告称其热钱包被盗，资金损失2800万美元，官方称目前客户资金安全，损失将由公司储备金弥补。
BeosinTrace对本次被盗资金进行实时追踪发现，Deribit热钱包被盗的2800万美元包括6947枚ETH、691枚BTC与约340万枚USDC，随即攻击者将USDC兑换为约2133枚ETH，目前攻击者地址持有9080枚ETH与691枚BTC。被盗资金依然在0xb0606f433496bf66338b8ad6b6d51fc4d84a44cd地址中。
阿迪达斯Web3项目ALTS by adidas向部分持有者空投“GOLDEN TICKET”NFT:金色财经报道，阿迪达斯旗下Web3项目ALTS by adidas在社交媒体宣布已向部分持有者空投“GOLDEN TICKET”NFT，该NFT总计110枚，持有者可以使用阿迪达斯独家发售和体验旗舰平台CONFIRMED应用程序上获得特殊功能。此外，“GOLDEN TICKET”NFT是可交易的，目前已登陆OpenSea平台，本文撰写时地板价为0.45 ETH，交易额为3 ETH。阿迪达斯提醒用户“GOLDEN TICKET”的有效期为2023年5月25日至2024年5月25日，在此日期之后将失效，因此必须在此时间段内使用。[2023/5/20 15:14:53]
Web3数字艺术家：美联储降息将刺激NFT市场反弹:金色财经报道，Web3数字艺术家Ovie Faruq表示，美联储降息将刺激NFT市场反弹。Faruq曾在巴克莱银行担任信用衍生品交易员，他表示：“大多数NFT市场已经意识到这是一种混合资产，它与加密相关，加密与纳斯达克相关，后者与全球金融市场相关。因此，一旦美联储降低利率，股票将有反弹的空间，从而为数字收藏品提供再次上涨的跑道。”
此前消息，根据区块链数据追踪机构CryptoSlam的数据，11月份全球NFT销售额从1月份的峰值50亿美元下降了89%。[2022/12/31 22:17:24]
密码：密码不是私钥，是在创建账户时使用的密码；
私钥：一串十六进制字符，一个账户只有一个私钥且不能更改，如：0xA4356E49C88C8B7AB370AF7D5C0C54F0261AAA006F6BDE09CD4745CF54E0115A；
Nexo推出1.5亿美元的Web3投资基金:金色财经报道，加密平台Nexo已推出 1.5 亿美元的内部 Web3 投资基金。该公司的风险投资部门 Nexo Ventures 计划将资金部署到基于区块链的游戏、去中心化金融 (DeFi) 和 NFT 等领域。该风险投资部门的企业财务和投资主管 Tatiana Metodieva 表示，该基金将“推动数字资产的持续采用和 Web3 生态系统的扩展。（blockworks）[2022/3/23 14:12:55]
助记词：由于私钥通常不容易记忆，所以使用算法将其转化为了一串12~24个容易记住的单词，方便保存；
Keystore：JSON编码的文件，存储的是加密后的私钥。
那些私钥泄露导致的攻击案列有哪些？
这里针对项目方的私钥安全主要有三方面：私钥破解、社会工程学攻击、生态安全。比如Ronin事件累计损失6.5亿美元、WonderHero事件累计损失2,800,000美元、MarvinInu事件累计损失350,000美元、Harmony事件累计损失100,000,000美元、Wintermute事件累计损失1.6亿美元。
数字隐私平台HOPR获超100万美元web3生态系统捐赠:2月28日消息，数字隐私平台 HOPR 宣布，团队已经从多个 Web3 项目处获得了总计超 100 万美元的捐款资金，捐赠方包括去中心化索引协议 The Graph、隐私项目 Dusk Network 和 Ankr 协议。HOPR 表示，长期以来团队致力于为 Web3 堆栈的每一层的加密项目进行隐私保护，目前还有至少三个捐赠方尚未公布。[2022/2/28 10:21:10]
1、私钥破解
2022年9月20日，Beosin?EagleEye安全风险监控、预警与阻断平台监测显示，加密做市商Wintermute创始人EvgenyGaevoy在社交媒体上发文表示，Wintermute在DeFi黑客攻击中损失1.6亿美元。
Injective在2022年将专注于“Injective Chain上线支持期货”等，以继续为开拓新的Web3经济铺平道路:1月1日消息，Injective发布2021年回顾和未来之路，Injective将继续为开拓新的Web3经济铺平道路，2022年将专注于：继续构建去中心化衍生品交易所；集成预言机；增加流动性；引入更多交易对和市场类型；发挥Injective Chain的潜力，可以支持期货、合成资产、期权等；推动全球采用；高性能互操作智能合约，将多链智能合约CosmWasm集成到Injective；Injective上的无许可Web3应用程序；跨链集成。[2022/1/1 8:18:18]
之后Wintermute创始人在推特上称，其于6月份使用了Profanity工具创建钱包地址。
9月15日，根据1inchNetwork发布的报告称，Profanity工具存在密钥爆破风险。报告中提到的Profanity工具使用32位随机向量生成256位的私钥，这种方式可能存在安全风险。
首先，该工具生成私钥的算法为：
1）Profanity选取一个32位随机数，将其采用mt19937_64()填充为256位的种子私钥；
2）随后采用某种确定性密钥扩展算法将其扩展为200万个私钥；
3）计算私钥对应的公钥，并根据派生公钥进行一系列计算得到对应的以太坊地址；
4）反复「递增」，直到计算出对应的靓号地址。
攻击者提前计算出所有的密钥空间，即对应的种子私钥对应的所有公钥，并存储在哈希表中，接着从区块链浏览器上获取到某一笔交易签名，并从交易签名R、S、V值中恢复出公钥，同样将该公钥采用确定性密钥扩展算法扩展为200万个公钥，反复“递减”派生出的公钥，直到获取到种子公钥，最后再根据该值实现密钥破解。
2、针对项目方的社会工程学攻击
钓鱼攻击
1.网络钓鱼：这种方式是广撒网式的。它会向尽可能多的人发送恶意email，例如Opensea的钓鱼事件。
2.鱼叉式钓鱼：主要针对重要组织，黑客会针对重要单位的个人发钓鱼邮件。电脑一旦被入侵后，主要目的是窃取重要资料，因此会潜伏很长一段时间。只有在特定时间点，需要病或木马采取攻击行动时才会采取攻击行为暴露出来。
3.鲸钓攻击：目标是组织内的最高决策层，比如CEO，CFO等等。这些人可以获取非常有价值的信息，包括商业秘密和管理公司账户的密码。攻击者伪装成具有合法权限的个人或组织，比如向CEO发送电子邮件，假装公司的客户，请求付款。
木马攻击
有的攻击者通过Discord邀请用户参与新的游戏项目内测，或是通过群内私聊等方式发一个程序让你下载。也有邮件的形式，通常以内部系统升级等等理由，诱员工点击邮件链接下载对应升级文件。
一旦员工在电脑上运行木马，它会扫描你电脑上的文件，然后筛选出包含Wallet等关键词的文件，或者对用的敏感隐私信息上传到攻击者服务器，达到盗取资产、获取情报的目的。
3、生态安全问题
8月3日，Solana公链上Slope钱包发生大规模盗币事件，损失估算在600万美元左右。根据Solanafoundation提供的数据显示，近60%被盗用户使用Phantom钱包，30%左右地址使用Slope钱包，其余用户使用TrustWallet等，并且iOS和Android版本的应用都有相应的受害者。Beosin安全团队分析发现Slope钱包使用的Sentry服务，通过抓包发现此服务会在用户创建钱包时，将助记词和私钥等敏感数据发送到Slope的服务器o7e.slope.finance上，造成助记词或私钥泄露。
钱包安全的防范
关于钱包的安全防范，在这里我们简单聊一下钓鱼攻击。针对项目方的主要是鱼叉和鲸钓，网络钓鱼一般针对的普通用户。大家需要注意：
社交媒体信息交叉验证；使用防钓鱼插件；谨慎点击不明链接；谨慎下载不明文件。同时大额资产可存在冷钱包，以提高安全性；签名和授权方面更要注意拒绝盲签；签署交易时，反复确认签署内容；定期清理不必要的授权；进行资产交易可使用临时性钱包、网络钱包，钱包选择上面多使用主流钱包。
责任编辑：MK
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。