盘点跨链桥史上10大攻击:涉及超19亿美元 15.5亿美元被赔付或追回_DOGE:odoge币行情

跨链桥资金量大且频繁遭到攻击,流动性前三的桥均出现过安全事故,说明跨链桥属于高危领域。

区块链世界已有上百条公链,然而因为缺乏主流资产,需要使用跨链桥从以太坊等公链上获取资产。近期,DeFi安全事故频发,跨链桥资金量大且频繁遭到攻击。下文中,PANews盘点了过去跨链桥中比较大的10次攻击过程,所有开发团队都需安全警钟长鸣。相对而言,开发团队背景越好越有资本的跨链桥在出现安全事故后,确实更容易找回资产或者由项目方进行赔付,因此用户选择有实力的跨链桥会更加稳妥。

ChainSwap:涉及资金800万美元,重新发币

2021年7月2日和7月11日,ChainSwap两次遭到黑客攻击,第一次损失约80万美元,第二次损失约800万美元。第二次攻击涉及的范围较大,超过20个使用ChainSwap进行跨链的项目受到影响。

根据ChainSwap的调查,本次事故是因为协议没有严格检查签名的有效性,攻击者可以使用自己生成的签名对交易进行签名。

由于损失的都是项目方的治理代币,包括ChainSwap自身在内的多个项目决定进行快照,并发行新的代币,以补偿代币持有者和LP。

相关阅读:《跨链桥项目Chainswap再遭黑客攻击,超20个项目被盗》

央行盘点2020:积极运用区块链等技术将金融服务融入实体经济“关键动脉”:央行发布《盘点央行的2020 | ⑦金融科技和金融基础设施》表示,积极运用大数据、人工智能、区块链等技术将金融服务融入实体经济“关键动脉”。首个由我国专家召集制定的ISO标准《银行产品服务描述规范》正式发布,同时牵头研制移动支付、区块链、绿色金融等多项国际标准。(中国人民银行公众号)[2021/1/11 15:53:08]

PolyNetwork:涉及6.1亿美元,已找回

2021年8月10日晚间,跨链互操作协议PolyNetwork遭到黑客攻击,在以太坊、币安智能链、Polygon上分别损失2.5亿、2.7亿、8500万美元的资产,总损失约6.1亿美元。

本次攻击主要是PolyNetwork的合约权限管理逻辑存在问题。攻击者在源链上构造了一笔将目标链Keeper修改为自己的地址的操作;官方中继器毫无防备的提交了交易并执行替换Keeper的操作;攻击者通过替换后的Keeper地址对转出资产的操作进行了签名;交易通过验证并执行,资产被转移到黑客地址。

攻击者在事先已经做好准备,初始资金来源为隐私代币XMR,在无需KYC的交易所换成BNB、ETH、MATIC后提币。但黑客最终还是归还了所有资金,PolyNetwork也称对方为“白帽”黑客,并愿意聘请他担任公司首席安全顾问。

相关阅读:《被黑6.1亿美金的PolyNetwork事件分析与疑难问答》

动态 | 汉语盘点2019年度候选字词出炉 区块链入围:12月9日,“汉语盘点2019”年度各组前五位的候选字词正式出炉,五大候选国际词分别为:巴黎圣母院、区块链、贸易摩擦、黑洞照片、脱欧。区块链的推荐理由为:被重新加持的区块链,真正开始了人类对技术创造未来的认识。[2019/12/10]

Multichain:涉及600万美元,已赔付

2022年1月18日,Multichain表示,发现一个对WETH、PERI、OMT、WBNB、MATIC、AVAX六种代币有影响的重要漏洞,虽然漏洞已修复,但用户需要尽快撤销授权,否则资产仍然可能面临风险。一个月后,Multichain官方发布了该漏洞的调查报告,共有7962个用户地址受到影响,4861个地址已撤销授权,其余3101个地址尚未撤销授权。共有1889.6612WETH和833.4191AVAX被盗。WETH和AVAX的损失按1月18日的价格计算,价值约604万美元。

据慢雾安全团队分析,这次被盗的原因是Multichain在检查用户传入的Token的合法性时出现问题,未考虑到并非所有underlying代币都有实现permit函数,导致事先有将WETH授权给AnyswapV4Router合约的用户的WETH被转移到攻击者恶意构建的地址中。

在Multichain官方发布漏洞调查报告时已有912.7984WETH和125AVAX被追回,占被盗资金总额的近50%。团队发起提案,将被盗资金退还给已撤销合约授权的用户,但不再对2月18日24:00之后的损失进行赔付。

雅虎财经2018年2月7日加密峰会盘点:

1. 摩根大通区块链负责人Farooq:区块链将从根本上改变商业的运作;数字货币必须解决问题。

2.Blockchain CEO:数字货币最厉害之处,就是在与任何国家无关的情况下成为金融体系的一部分。

3.DCG(数字货币集团)创始人Barry Silbert:大多数币种没有真正的实用性;希望未来让DCG上市。

4.Fundstrat Global Advisors联合创始人Tom Lee:数字货币市场不仅仅是个“十年的故事”,它将持续存在30年。数字货币市场像新兴市场。如果相信区块链,那就必须相信比特币、以太坊以及所有的公链。

5.Indiegogo股权众筹和加密货币投资负责人:最终将需要与监管机构来一次有意义的、权威的对话。

6.Chain联合创始人兼CEO Adam Ludwin:人们其实希望对数字货币进行监管;以加密方式上发行传统货币以后将是这个领域中的很大一部分。

7.瑞波CEO:瑞波超过50%合作金融机构为日本公司,瑞波币将在3-5年内成功;长期看好比特币,认为比特币不会灭亡,但也不会解决付款问题。

8.Goodwin Procter律所合伙人Grant Fondo:不管某个项目看起来有多好,别把鸡蛋放在一个篮子里。

9.数字商会总裁Perianne Boring:数字货币投资者需要做好研究,同时要有批判性思维。[2018/2/8]

相关阅读:《慢雾分析Multichain被盗经过,合约一函数未检查用户传入Token的合法性》

区块链概念股涨跌盘点:

四方精创(300468):现价42.80元,涨幅6.28%,成交额3.52亿,流通市值28.62亿;

飞天诚信(300386):现价17.81元,涨幅1.77%;成交额4.60亿,流通市值35.28亿;

赢时胜(300377):现价13.37元,涨幅1.67%;成交额7.64亿,流通市值68.15亿;

第一创业(002797):现价9.87元,涨幅0.82%;成交额8.99亿,流通市值189.35亿;

广电运通(002152):现价7.52元,涨幅0.82%,成交额3.56亿,流通市值146.99亿;

北大荒(600598):现价11.30元,涨幅0.53%;成交额1.54亿,流通市值20.88亿;

新国都(300130):现价25.61元,跌幅0.27%;成交额1.08亿,流通市值40.25亿;[2017/12/20]

QBridge:涉及8000万美元,仅赔付2%

2022年1月28日,借贷协议Qubit的跨链桥QBridge遭到攻击,损失约8000万美元。

本次事故的原因在于QBridge在对白名单代币进行转账操作时,未对其是否是零地址再次进行检查。在充值ERC20代币和ETH分开实现的情况下,调用deposit函数本该是存入ERC20代币的交易,黑客的deposit操作中将ERC20代币的地址设为零地址,在没有存入任何代币的情况下,在BSC上凭空铸造了大量xETH代币。以这些xETH代币为抵押品,从Qubit中借出其它代币,导致Qubit中的抵押品耗尽。

2017年盘点 纳斯达克五个涨幅超过200%的比特币相关股票:1、Overstock.com(纳斯达克股票代码OSTK),涨幅214%;2、迅雷(纳斯达克股票代码XNET),涨幅310%;3、Bitcoin Investment Turst(纳斯达克股票代码GBTC),涨幅1167%;4、First Bitcoin Capital Corp(纳斯达克股票代码BITCF),涨幅1624%;5、Bitcoin Services Co.(纳斯达克股票代码BTSC),涨幅19275%。[2017/12/19]

目前Qubit已几乎无人使用,官网显示还有98%的被盗资金尚未得到赔付。

相关阅读:《Qubit项目的QBridge遭受攻击主要由于未对其是否是0地址再次进行检查》

Meter.io:涉及440万美元,用未来收益赔付

2022年2月6日,MeterPassport跨链桥被恶意利用,造成440万美元的损失。

Meter官方表示,问题出在Meter上扩展原始码出现的“错误的信任假设”,让黑客以“调用底层ERC20存款功能”来伪造BNB和ETH转账。

Meter首先称,将用MTRG代币赔偿用户的BNB和WETH损失。但在治理投票中,决定新发行PASS代币赔付给用户,后续用Meter的未来收益回购PASS代币,但尚未进行过任何回购。

相关阅读:《PeckShield:Meter.io跨链桥遭黑客攻击,损失约430万美元》

Ronin:涉及6.2亿美元,已赔付

2022年3月29日晚间,区块链游戏AxieInfinity背后的Ronin链上的资金被盗。此次被盗发生在3月23日,但直到3月29日才被发现。本次攻击造成的损失约6.2亿美元。

根据SkyMavis博客文章和TheBlock的报道,Ronin的被盗指向社会工程学攻击。一家虚假公司的员工通过领英联系到了AxieInfinity和Ronin开发商SkyMavis的员工,并鼓励他们申请工作。SkyMavis的一名员工在经过多次面试之后获得了“Offer”。在下载了伪造的“Offer”录取信后,黑客软件渗透到Ronin的系统中,接管了Ronin网络9个验证者中的4个。随后,黑客通过SkyMavis控制了AxieDAO,后者曾允许SkyMavis代表其签署各种交易,一旦攻击者能够访问SkyMavis,就可以从AxieDAO验证器中获得签名。

Ronin的被盗资金并未能追回。4月4日,SkyMavis宣布完成了一笔币安领投的1.5亿美元融资,用于赔偿用户损失。6月29日,SkyMavis宣布重新上线Ronin桥,用户可以获得赔偿。但被盗资金主要为ETH,在攻击至赔付期间,ETH价格下降约2/3。

相关阅读:《价值5.4亿美元的Offer:Ronin遭攻击源自工程师打开了一家虚假公司的录取信》

Wormhole:涉及3.26亿美元,已赔付

2022年2月3日,跨链互操作协议Wormhole遭到黑客攻击,损失约12万枚ETH,价值约3.26亿美元。

黑客在Wormhole的Solana一侧大量增发whETH,并从以太坊上提走了所有ETH。2月5日,Wormhole在针对该事件的报道中称,此次漏洞是因为Solana端Wormhole核心合约签名验证代码存在错误,攻击者可以伪造来自“监护人”的消息来铸造whETH。

2月4日,JumpCrypto宣布为Wormhole投入12万ETH,以弥补Wormhole的被盗损失,Wormhole已恢复运行。

相关阅读:《跨链桥Wormhole遭黑客攻击,约3.26亿美元资产被盗》

EvoDeFi:预计涉及上千万美元,未处理

2022年6月7日,Oasis生态DEXValleySwap上的USDT严重脱锚。ValleySwap曾是Oasis链上最大的DEX,TVL最高为2.2亿美元。由于USDC-USDT交易对的流动性挖矿收益较高,当时有部分用户在ValleySwap上用这两种稳定币挖矿。DefiLlama显示,ValleySwap上的资金从6月4日开始大量流出,6月7日时的TVL为8878万美元,具体损失金额未知,预计在上千万美元级别。

ValleySwap上资产脱锚的原因在于使用的跨链桥EVODeFi在源链上的流动性已经不足。EVODeFi称是因为FUD恐慌导致的问题,但这个理由显然站不住脚。Oasis官方人员则回应称,已提示EVODeFi存在风险,Oasis网络与ValleySwap和EvoDeFi没有任何关联,EvoDeFi是高风险的、未经审计,也不是开源和去中心化的。本次事故的原因可能为EVODeFi通过后门盗取了用户资产。

用户的损失并没有任何解决方案,公链Oasis急于与自己摆脱关系,ValleySwap和EVODeFi的官方推特均在6月8日后停止更新,约等于跑路。

相关阅读:《Oasis生态DEXValleySwap上的USDT已严重脱锚》

Horizon:涉及近1亿美元,正在制定赔偿方案

2022年6月24日,Harmony官方跨链桥Horizon遭到攻击,共造成约1亿美元的资金损失。

6月26日,Harmony创始人StephenTse承认,可能是“私钥泄露”导致了本次攻击。资金在以太坊和BNB链上被盗,被盗资产包括BUSD、USDC、ETH、WBTC等。此前,以太坊与Horizon间的多重签名只需5个中的2个即可转移资金,事后需要的签名数被修改为5个中的4个。

Harmony曾希望通过增发ONE代币,在3年时间里赔偿用户的损失,但目前并未与社区达成一致。在Harmony社区7月27日发起的赔偿提案中,StephenTse表示,理解社区的担忧,将重新制定赔偿提案。

相关阅读:《安全团队:HarmonyBridge遭遇攻击原因或为私钥泄露》

Nomad:涉及1.9亿美元,处理中

2022年8月2日,Nomad中的流动性被迅速耗尽,在发生安全事故前Nomad中共有1.9亿美元的流动性。本次事故也导致另一个Layer2互操作性协议Connext损失约334万美元,当时Connext路由在受影响的链上持有约334万美元的madAssets。

据Paradigm研究员samczsun分析,本次事故是因为Nomad在一次合约升级中将可信根初始化为0x00,导致任何人都可以使用一笔有效的交易,用自己的地址替换对方的地址,然后将交易广播出去即可从跨链桥提取资金。

据欧科云链分析,本次攻击涉及到1251个ETH地址,涉案金额约1.9亿美元,其中包括12个ENS地址,ENS地址约占总金额的38%。项目方并未给出一个确切的赔付方案,已有部分白帽黑客表态愿意归还资金。

相关阅读:《Nomad黑客事件复盘:1.9亿美元被盗仅因一个低级错误》

小结

跨链桥安全事故的多发足以让我们保持警惕,按流动性排名前三的桥Multichain、Portal、PolyNetwork均发生过安全事故,说明跨链桥属于高危领域,任何跨链桥都有可能再次出现安全问题。

相对而言,开发团队背景越好越有资本的跨链桥在出现安全事故后,确实更容易找回资产或者由项目方进行赔付,如PolyNetwork、RoninNetwork、Wormhole的巨量资金被盗后找回,或进行了足额赔付。

团队的实时监控和积极处理是有效的,HopProtocol和Stargate在收到可疑活动报告后都快速进行了处理,即时狙击黑客未能攻击成功。

来源:金色财经

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

Uniswap日内空等破位 21800见_DAS:DOGE

日内空等破位:即便你一夜无眠,也改变不了清晨起床搬砖。各司其职,做好自己的本分工作,就如同飞扬,还特意起了个大早,来看看行情.

[0:0ms0-4:668ms