创宇区块链9月安全月报-ODAILY_CORD:CORD币

前言

9月结束后我们迎来了十一小长假。长假过后10月工作日第一天,知道创宇区块链安全实验室为大家整理了9月安全攻击事件。

9月,攻击事件虽然大量减少,但所涉及金额却并未减少。据知道创宇区块链安全实验室数据显示:该月发生的安全事件超26起,其中钓鱼攻击事件增加迅猛,本月造成损失最为严重的当为加密做市商Wintermute因私钥泄露事件,损失高达1.6亿美元。本月安全事件造成的损失总金额共计约167,400,000美元。

数据分析

1、占比分析:

分析发现,网络钓鱼安全事件在9月占比最多,高达44%,请大家警惕钓鱼注意保护个人资产。值得高兴的是,9月跑路局大幅度减少仅占比8%。

2、对比数据分析:

数据:以太坊桥TVL达到61.9亿美元:金色财经报道,DuneAnalytics数据显示,以太坊桥当前TVL达到61.9亿美元。其中锁仓量最高的5个桥分别是PolygonBridges(30.32亿美元)、ArbitrumBridges(21.16亿美元)、OptimismBridges(7.9亿美元)、NearRaibow(1.13亿美元)、xDAI Bridges(9952万美元)。[2023/7/17 10:59:13]

通过对比我们可以发现,本月安全攻击事件除了网络钓鱼类,其他类型数量均为减少,尤其是跑路局由上月17起减少至2起。

3、2022年月安全趋势:

本月安全数量大幅度下降,成为下半年以来最少攻击事件月,应该与以太坊POS共识机制合并有较大的关系,后续如何发展我们将持续关注。

狗狗币商标被多家公司申请注册:金色财经报道,天眼查App显示,“狗狗币”商标已被上海一网络技术公司成功注册,国际分类为金融物管。

另外,还有进出口公司、农业开发公司、投资公司等申请“狗狗币”“狗狗币 DOGS COIN”商标,目前商标状态多为等待实质审查、驳回复审。??[2023/4/4 13:44:00]

以下是知道创宇区块链安全实验室对9月各类型安全资讯的总结,并就其暴露出的问题进行探讨。

DeFi安全类型事件

9月2日,隐私项目ShadowFi遭遇黑客攻击,其官方TokenSDF下跌98.5%。攻击者利用SDF的漏洞允许任何人烧毁Token,获利约1078枚BNB,目前被盗资金已被转入TornadoCash。

9月4日,RugPullFinder最新推出的NFT项目「BadGuys」在免费铸造期间遭到漏洞利用攻击,两名用户利用其NFT合约漏洞铸造了450枚NFT,而不是按照最初设定的每个钱包仅能分配1枚NFT。这次漏洞是因为「mint」函数缺少所需的安全检查导致,该团队已在社交媒体上做出道歉并称将支付2.5ETH赏金来回购多铸造的NFT。

Klaytn关于“销毁74.8亿枚KLAY储备中的52.8亿枚KLAY”提案已开启投票:2月22日消息,Klaytn基金会发布“建立可持续和可验证的KLAY代币经济”的提案,提议立即销毁和移除最初发行储备约74.8亿枚KLAY中过去3年零8个月未使用的52.8亿枚KLAY。如果与Klaytn的治理委员会 (GC) 合作未发现任何用例,将在3年内销毁并停止供应20 亿枚KLAY。

提案称,截至2023年2月,KLAY的总供应量,包括在Klaytn主网启动时的代币生成事件(TGE)期间发行的数量和区块奖励产生的数量,总计约110亿枚KLAY,其中约30.73亿枚KLAY目前正在流通。此次提案是为了确保更可持续的代币经济。考虑到将KLAY确立为通货紧缩资产的长期目标,将继续支持KLAY需求的增长,同时通过实施管理模型来管理KLAY供应,从而提高代币发行的可见性。

该提案已于北京时间今日8点开启投票,投票将于北京时间2月28日10:59:59结束,若通过将于3月1日执行。

此前2月20日消息,Klaytn基金会2月28日将公布修改KLAY代币经济模型和治理模型的提案。[2023/2/22 12:22:20]

9月4日,BNBChain上聚合DAO社区DAOOfficials疑似被攻击,此外链上数据显示攻击者或获利逾50万美元。

The Block创始人:V神应利用个人影响监管机构建立一个非认可公众参与的代币框架:金色财经报道,The Block创始人Mike Dudas在社交媒体上评论V神推特称,hi,vitalik,与其破坏整个DeFi和应用层加密资产类别的价值,不如利用你的巨大力量影响监管机构和政客,建立一个允许价值累积*和*非认可公众参与的代币框架。

对此,以太坊创始人Vitalik Buterin回复称,许多DeFi项目都有不基于“治理权”的合理估值叙事。我的意思是,即使是BTC和ETH也是如此![2022/11/30 21:12:23]

9月7日,攻击者通过AVAX闪电贷攻击获利约37万USDC。攻击者可能影响的协议包括NereusFinance、TraderJoe、CurveFinance。

9月8日,BNBChian链上NewFreeDao项目遭到闪电贷攻击,NFD价格下跌超99%,损失4500枚BNB

9月18日,攻击者首先在ETH主网上通过omniBridge转移WETH,随后将相同的交易内容在ETHW链上进行了重放,获取了等额的ETHW。目前攻击者已经转移了741ETHW到交易所。Beosin安全团队建议如果项目方合约里面预设了chainID,请先手动将chainId更新,即使项目方决定不支持ETHW,但是由于无法彻底隔绝通过跨链桥之间的资产流动,建议都在ETHW链上更新。

9月20日,加密做市商Wintermute因私钥泄露被黑客攻击损失1.6亿美元。

局安全类型事件

9月16日,GigaChadsDAO项目疑似出现Rugpull,CHAO代币价格暴跌80%。合约部署者铸造了大量代币然后将其出售。

9月26日,在BNBChain上发现抢先交易机器人局,其中子教用户如何开发「抢先交易」机器人(Front-runbot)来赚钱,但它提供的合约有一个后门,部署完成后,受害者的所有代币都会转移到攻击者的地址。

网络钓鱼安全类型事件

9月6日,ArtsDAO项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月6日,Dictators项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月8日,元宇宙平台TheSandbox项目Instagram账号被入侵,thesandboxesgame.com是钓鱼网站。请用户不要点击钓鱼网站。

9月12日,AlphaCentauriKid官方Discord服务器收到钓鱼邮件攻击,请不要点击,铸造或批准任何交易。

9月14日,BAYC#8941疑似被盗,NFT被转入0x18e541...D0F4地址,被标记为钓鱼地址。

9月14日,ID为@FreddyAdu的经过认证的推特账号遭到黑客攻击,攻击者将其伪造为LooksRare推特并发布虚假空投网站信息,目前仍未恢复。

9月18日,AlterEgoHunters官方表示其Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日,Dystians的Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日,NFT项目pump?kin发推称,Discord服务器和Discord管理账户遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月20日,印度加密交易平台CoinDCXTwitter帐号疑似被入侵,并发布欺诈性链接。

9月22日,SuspiciousUnicornSociety项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月28日,SOLDecoder项目Discord服务器遭攻击。请社区用户不要点击、铸造或批准任何交易。

其他安全事件类型

9月2日,去中心化流动性协议KyberNetwork在推特上披露,该协议因前端漏洞利用导致其用户损失26.5万美元资金。该漏洞源于KyberSwap网站中的恶意GoogleTagManager代码,攻击者的目标是鲸鱼钱包,通过插入虚假批准获得了转移用户资金的权限。

9月9日,零知识证明研发机构StarkWare发推称,其扩容引擎StarkExV4.5被VladBochok和IhorBarenblat指出存在漏洞,在运营者控制的条件下,该漏洞可使用户能够从一个冻结系统的Vault中双花。不过,目前该漏洞已被修复。

9月18日,通过Profanity创建的某些以太坊地址存在严重漏洞,黑客利用Profanity漏洞获利330万美元。

9月20日,加密货币投资服务银行Revolut已经证实,它受到了一次高度针对性的网络攻击,黑客可以访问数万名客户的个人详细信息。

9月26日,0x9731F开头地址从使用Profanity工具生成的以太坊靓号地址中窃取95万美元的加密货币,攻击者已将将732枚以太坊转移至混币器。

总结

从Defi的角度来看,所涉及的安全事件中,闪电贷攻击和重入攻击仍旧最为常见,所以说合约的审计是非常有比较的。而加密做市商Wintermute安全事件提醒我们私钥的重要性,一定要保护好自己的私钥,所以在合约本身的安全之外,我们也需要关注合规性安全。知道创宇区块链安全实验室在此提醒,对合约安全有必要做到常规审计和复合审计,保障合约免受其他攻击影响,同时高度重视函数权限问题,以防止高权限函数被任意调用。

从网络钓鱼以及局跑路角度来看,跑路局在本月有所下降,但仍然不可放松警惕,需要时时刻刻对项目及项目方进行细致的考察;而网络钓鱼逐月增加,可以看出攻击者认为网络钓鱼更容易到用户从而获利,作为用户要多加小心,不可随意信任他人而点击相关内容。

山河远阔,国泰民安,祝福虽晚但心意不晚,祖国生日快乐!

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:15ms0-5:126ms