据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，7月6日，跨链桥项目Multichain被攻击，涉及资金约1.26亿美元。
据了解，Multichain前身是Anyswap，公开资料显示，Anyswap创立于2020年7月，最初定位于跨链DEX。但基于项目的发展，Anyswap已经逐渐将业务聚焦于资产跨链，弱化了DEX 的交易功能。
这不是Multichain第一次被攻击，此前这个跨链项目曾被黑客觊觎过几次，不过本次攻击事件却扑朔迷离，根据链上交易详情和交易日志分析，此次盗币并非来源于合约漏洞，而是充满着层层蹊跷。
一、事件基本情况
Bitwave收购加密新闻提供商Multisig Media:4月25日消息，数字资产会计平台Bitwave宣布收购加密新闻提供商Multisig Media，但具体收购金额暂未公开披露。Multisig Media旗下拥有面向加密会计师的Web3、DeFi、会计、金融通讯服务Triple Entry，本次收购交易完成后，Bitwave旨在为金融专业人士提供更具创新和吸引力的Web3内容服务。
此前消息，加密会计和合规平台Bitwave完成1500万美元A轮融资，Hack VC和Blockchain Capital领投。[2023/4/25 14:26:18]
在UTC时间2023年7月6日14：21开始，“黑客”开始攻击Multichain桥，在3个半小时内从容将Multichain: Fantom Bridge(EOA)和Multichain: Moonriver Bridge(EOA)约1.26亿美元资产转至下面6个地址进行了沉淀：
NEAR 区块链将集成跨链路由器协议 Multichain，增强与其他网络的通信和互操作性:6月10日消息，NEAR 基金会宣布 NEAR 区块链将集成跨链路由器协议 Multichain。NEAR 已集成的跨链桥中，Rainbow Bridge 支持资产在 NEAR、Aurora 和 以太坊间转移，Octopus Network 支持来自 Polkadot 的应用链在 NEAR 的的区块链上运行。Multichain 的加入将把互操作性扩展到更广泛的生态系统，实现 NEAR 与 Aurora、Avalanche、BNB Chain、比特币、Celo、以太坊、Oasis、Polygon 等区块链的通信和互操作性。[2022/6/10 4:17:10]
0x418ed2554c010a0C63024D1Da3A93B4dc26E5bB7
0x622e5F32E9Ed5318D3A05eE2932fd3E118347bA0
Multichain已支持Fantom进行fUSDT和USDC的跨链转移:金色财经消息，跨链互操作性协议Multichain（原AnySwap）已支持Fantom进行fUSDT和USDC的跨链转移。其中USDC现在可以在Fantom和以太坊、Arbitrum、Avalanche、Optimism、BNBChain、OKC、Polygon、KCC和Moonbeam之间跨链；fUSDT现在可以在Fantom和以太坊、Cronos、BNBChain、OKC、Heco、Polygon、BTTC、KCC和Avalanche之间跨链。[2022/5/31 3:52:13]
0x027f1571aca57354223276722dc7b572a5b05cd8
0x9d5765aE1c95c21d4Cc3b1d5BbA71bad3b012b68
0xefeef8e968a0db92781ac7b3b7c821909ef10c88
LayerZero融资披露新参投机构，Multicoin、耐克基金会主席等参投:3月31日消息，投资机构Multicoin Capital 宣布参投互操作性协议开发商 LayerZero Labs 最新A+轮融资。Multicoin Capital 为该公司首轮融资的领投方，其同时在公告中披露了该轮融资的其他参与者，包括：Animoca Brands、软银CEO Rene Marcelo Claure 、Avalanche生态基金、Polygon生态基金、Fantom生态基金、Dapper Labs、Kronos Research、Ethernity、ImToken Ventures、Matrixport、Gemini等投资机构，以及天使投资人美国橄榄球运动员Tom Brady、歌手Justin Timberlake 以及耐克基金会主席 Maria Eitel。
此前消息，LayerZero Labs 以10亿美元估值完成 1.35 亿美元 A+ 轮融资，FTX Ventures、红杉资本与 a16z 共同领投，Coinbase Ventures、PayPal Ventures、Tiger Global 和 Uniswap Labs 等参投。[2022/3/31 14:28:25]
0x48BeAD89e696Ee93B04913cB0006f35adB844537
Multicoin Capital的旗舰加密货币基金计划已筹集5000万美元投资:加密货币基金投资公司Multicoin Capital宣布包括硅谷著名风投机构Marc Andreessen和推特在内的投资者正在参与其旗舰基金。该公司于2017年10月启动旗舰基金计划，计划在2018年第一季度末筹集高达1亿美元的资金。目前筹资目标已上调至2.5亿美元，目标是在2018年底前筹集资金。据路透社，该基金迄今已累计5000万美元。该基金在10月份推出时曾表示，虽然它可能类似对冲基金，但Multicoin依靠技术驱动的方法来识别加密货币前景。该公司联合创始人兼管理合伙人Kyle Samani曾表示：“我们投资加密货币，而不是公司。与投资于公司不同，投资加密货币需要一些新的工具来进行大规模经营。”[2018/3/10]
Beosin KYT/AML追踪发现被盗资金流向及时间关系如下图：
根据链上记录可以看到最初的可疑交易0xde3eed5656263b85d43a89f1d2f6af8fde0d93e49f4642053164d773507323f8，从交易后进行了大量的资产转移，其中包括从 Multichain 的 Fantom 桥转移 4,177,590 DAI、491,656 LINK、910,654 UNIDX、1,492,821 USDT、9,674,426 WOO、1,296,990 ICE、1,361,885 CRV、134 YFI、502,400 TUSD 到可疑地址 0x9d57***2b68；转移 27,653,473 USDC 到可疑地址 0x027f***5cd8；转移 30,138,618 USDC 到可疑地址 0xefee***0c88；转移 1,023 WBTC 到可疑地址 0x622e***7ba0；转移 7,214 WETH到可疑地址 0x418e***5bb7。
以及从 Multichain 的 Moonriver 桥转移4,830,466 USDC、1,042,195 USDT、780,080 DAI、6 WBTC 到可疑地址0x48Be***4537。另外从疑似 Multichain 的 Dogechain 桥地址0x55F0***4088转移了 666,470 USDC 到可疑地址0x48Be***4537。
二、本次安全事件一些可疑的部分
根据链上交易详情和交易日志分析，此次盗币并非来源于合约漏洞，被盗地址为账户地址，被盗行为也只是最基本的链上转账。
被盗的多笔交易中，也未发现有什么共同特征，唯一的相同点就是都转入了空白地址（转账之前无交易无手续费），每笔交易之间间隔也是在几分钟到十几分钟不等，往同一个地址进行转账的间隔最短也有一分钟，可以大致排除‘黑客’是通过脚本或程序漏洞批量盗币。
往不同的地址进行转账的时候时间间隔也较长，怀疑可能黑客是在盗币的时候临时创建的，并对私钥等信息进行了备份。嫌疑地址总共有6个，被盗的币种有13种，不排除整个事件多个人做的。
三、对黑客进行盗币手法的猜测
针对以上的各种行为，我们猜测黑客通过以下几种方法进行了盗币
1.对Multichain的后台进行了渗透，获取了整个项目的权限，通过后台对自己的新建账户进行转账。
2.通过黑客攻击项目方的设备，获取了该地址的私钥，直接通过私钥进行转账。
3.Multichain内部操作，通过黑客攻击的借口进行资金转移和获利。在被黑客攻击后，Multichain未对该地址的剩余资产马上进行转移，且过了十几个小时才宣布停止服务，项目方响应速度太慢。黑客转账的行为也很随意，不仅有大额转账，也有2USDT的小额转账，且整个时间跨度较大，黑客掌握私钥的可能性极大。
四、跨链协议面对的安全问题有哪些？
基本本次事件，大家再次对跨链桥的安全问题进行了担忧，毕竟就在前几日，跨链桥项目Poly Network就被黑客攻击，黑客利用伪造的凭证向多条链的跨链桥合约进行取款操作。
根据Beosin安全团队的研究，发现跨链桥面对的安全挑战还有以下这些。
跨链消息验证不完整。
跨链协议在检查跨链数据时，应包含合约地址、用户地址、数量、链ID等等。比如pNetwork安全事件由于未验证事件记录的合约地址，导致攻击者伪造Redeem事件去提取资金，累计损失约为1300万美元
验证者私钥泄露。
目前大部分跨链仍是借助验证者来执行跨链错误，如果私钥丢失，将威胁整个协议的资产。Ronin侧链由于其四个 Ronin的四个验证器和一个第三方验证器被攻击者利用社会工程学所控制，随意提取协议资产，最终损失6亿美元。
签名数据复用。
主要是指提款凭证可以复用，多次提取资金。Gnosis Omni Bridge安全事件 ，由于硬编码化了Chain ID，导致黑客可以使用相同的取款凭证，在分叉链ETH和ETHW链上取出对应的锁定资金。累计损失约为6600万美元
因此我们也建议跨链项目方应该注重安全风险，注重安全审计。
Beosin
企业专栏
阅读更多
金色早8点
Odaily星球日报
金色财经
Block unicorn
DAOrayaki
曼昆区块链法律
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。