前言
六月以來,安全事件仍層出不窮,即使幣價下跌,攻擊者卻沒有停下攻擊的腳步。據知道創宇區塊鏈安全實驗室數據顯示:該月發生的安全事件超46起,其中跑路騙局變得更加嚴重,而跨鏈橋HarmonyBridge由于驗證者節點的私鑰泄露損失高達1億美元。本月安全事件造成的損失總金額共計約1.21億美元。
以下是知道創宇區塊鏈安全實驗室對六月各類型安全資訊的總結,并就其暴露出的問題進行探討。
DeFi安全類型事件
6月2日,BNBChian上項目CoFiXProtocol遭受價格操控攻擊,攻擊者獲利約14萬美元。
6月4日,fomo-dao項目遭到攻擊,目前攻擊者獲利11萬美元,已經轉至Tornado.cash。
6月7日,EqualizerFinance遭受閃電貸攻擊。此次攻擊的主要原因在于EqualizerFinance協議的FlashLoanProvider合約與Vault合約不兼容。損失約為831美元。
6月9日,部署在Osmosis區塊鏈上的678號池遭到攻擊,金額或涉及500萬美元。通過利用此漏洞,用戶可以退出池并獲得最初存入池中的額外50%的資產。
Aave即將在以太坊主網啟動去中心化穩定幣GHO:7月14日消息,Aave 關于在主網啟動其去中心化穩定幣 GHO的AIP提案已獲得投票通過,該提案旨在通過 Aave V3 Facilitator 和 FlashMinter Facilitator 將 GHO 引入以太坊主網。該提案將在一天內在鏈上執行,GHO最早可能于7月15日在以太坊區塊鏈上推出,以太坊上的 Aave V3 用戶將能夠使用抵押品來鑄造 GHO。[2023/7/15 10:56:07]
6月14日,Fswap官方表示,其于6月13日22:08遭到黑客攻擊,此次攻擊為非被攻擊項目漏洞事件,是惡意借貸攻擊事件。損失1751BNB,價值約為39萬美元。
6月21日,whaleswap.finance項目遭受攻擊,至少損失5946個BUSD和5964個USDT,價值約11910美元。
6月23日,pandorachainDAO項目遭受閃電貸攻擊,導致了價值約12.8萬美元的資產損失。
6月24日,由Layer1公鏈Harmony開發的以太坊與Harmony間的資產跨鏈橋Horizon遭到攻擊,損失金額約為1億美元。
CZ:部分匹配引擎正在恢復,仍需要更多時間修復:金色財經報道,CZ在其社交平臺表示,一個引擎已恢復上線,仍然需要更多的時間來做核對,讓其他引擎恢復。我們在這個錯誤上有點不走運。我們的引擎每小時進行一次快照。這個錯誤發生在57分鐘內。所以,重放/重新核對需要更長的時間。[2023/3/24 13:24:55]
6月26日,NFT借貸協議XCarnival遭到攻擊,黑客獲利3087枚以太坊,而協議損失可能更高。
6月28日,Goldfinch項目的SeniorPool合約遭受攻擊,攻擊者通過套利累計獲利28523個USDC,項目方累計損失541158個USDC。
騙局安全類型事件
6月1日,BNBChian上項目ArmadilloCoin發生RugPull,詐騙者已將663.4枚BNB轉入TornadoCash。損失價值約21萬美元。
6月3日,StarMan發生RugPull,幣價下跌99.5%,詐騙者已將約640.4枚BNB轉移至TornadoCash。損失價值約19.6萬美元。
6月6日,ACC代幣暴跌超70%,近期交易中有7筆被認定為可疑的RugPull,損失達12萬美元。
鏈游Magic Fantasy完成300萬美元私募融資:12月31日消息,Web3游戲項目Magic Fantasy完成300萬美元私募融資,EasyCoins Venture參投,新資金將用于用戶游戲開發、AIGC工具整合、市場推廣等,通過集成AIGC工具可便捷將游戲內裝備、道具生成為NFT。
據悉,Magic Fantasy是一款免費戰略紙牌游戲,其游戲內置經濟模式由游戲代幣VOD和穩定幣USDT支持,玩家通過在PVP游戲中獲勝來獲取激勵。(digitaljournal)[2022/12/31 22:17:53]
6月8日,BNBChian上項目BabyElon發生RugPull,代幣下跌98%,詐騙者已將623枚BNB轉入TornadoCash,損失約為18萬美元。
6月12日,HEGECoin已被確認為RugPull跑路項目,HEGE代幣的價格暴跌超過97%。目前損失金額約為43萬USC-USD。
6月13日,ElonMVP代幣發生RugPull,代幣價格下跌99%,超622枚BNB轉入Tornado.Cash,損失約為13萬美元。
幣安否認英國立法者關于其故意擊垮FTX的指控:金色財經報道,加密貨幣交易所幣安在接受英國立法者質詢時否認對其故意擊垮FTX的指控。幣安向英國議會財政部委員會發送一份長達五頁的文件,概述導致FTX崩盤的一系列事件。
幣安表示,最初的催化劑是CoinDesk的一篇文章,文章稱Alameda Research的大部分資產是FTT代幣,“可以清楚地看出,FTX崩潰的原因是11月2日CoinDesk文章最初報道的財務違規行為和可能的欺詐行為。”
據此前彭博社報道,幣安將在11月14日英國議會財政部委員會的加密資產調查中出庭作證,并向庭上提交證據說明雙方在交易談判期間就FTX.com進行的討論,以及該公司圍繞拋售FTT所做的決策。調查小組表示希望收到證據表明幣安對FTX的潛在收購有進行過盡職調查,并得知幣安是否清楚拋售FTT將帶來的潛在后果。[2022/11/17 13:14:20]
6月14日,區塊鏈云基礎設施Chain或發生RugPull,Token價格24小時下跌96.28%。
6月20日,MoveToEarn應用StepUpGames發生RugPull,Token價格下跌84%,部署者鑄造大量STP并進行拋售。
V神:哈希值在量子計算機中生存得很好:金色財經報道,以太坊聯合創始人Vitalik Buterin發推表示,你們中的許多人都把這個問題搞錯了。使用肖爾算法的量子計算機完全打破了橢圓曲線。哈希值(如SHA256)在量子計算機中生存得很好,盡管安全性有所下降,建議使用更長的哈希值長度。[2022/9/5 13:08:27]
6月21日,DHE項目發生RugPull,導致DHE代幣價格下跌超過91%。目前損失總額約為14.2萬美元。
6月22日,LVPLUS項目已被確認為跑路項目。北京時間2022年6月21日,該項目因RugPull攻擊損失了約150萬美元。
6月29日,LVMetaverse(代幣LVP)項目再次發生RugPull,合約部署者再次拿走價值5萬美元的代幣。
網絡釣魚安全類型事件
6月4日,HomelessFriendsNFT的Discord遭到攻擊,homelessfriendsnet系釣魚網站。
6月4日,NFT項目NotBoredApes的Discord遭到攻擊,一個mod賬戶似乎被黑,開始頻繁發布網絡釣魚鏈接。請對官方未公布的Mint保持警惕。
6月4日,NFT項目WibinWolves的Discord服務器遭到攻擊,社區用戶被踢,所有服務器邀請鏈接被關閉。
6月5日,NFT項目「無聊猿」的Discord服務器遭到短暫攻擊,有價值約200ETH的NFT被盜。
6月6日,NFT項目Aiternate的Discord已被攻擊,請用戶不要點擊任何Discord私信或鏈接。
6月7日,Elrond網絡近日遭黑客攻擊,超165萬美元EGLD被盜,部分并已通過去中心化交易平臺Maiar出售,引發Maiar停機維護,部分發送至Binance。
6月7日,專注于女性賦權的NFT系列BossBeauties的Discord被攻擊,截至目前仍在頻繁轉入轉出NFT,總量已達40余枚。
6月8日,NFT項目DapperDinos的Discord遭遇攻擊,http://dapperdrop.com是釣魚網站。
6月9日,http://mint-samsung.com是一個釣魚網站。該釣魚網站冒充三星(Samsung)鑄造網站盜取了VeeFriendsSeries2#44451NFT。
6月9日,NFT項目AlphaKongsClub的Discord遭到攻擊,http://alphakongsclubnft.org是釣魚網站,用戶不要與該項目的Discord發送的任何鏈接互動。
6月12日,NFT項目GooniezGang的Discord遭到攻擊并發布了網絡釣魚鏈接。
6月12日消息,科幻NFT卡牌游戲Parallel發推稱,其Discord遭到攻擊,團隊正在恢復。請用戶不要點擊任何Mint鏈接。
6月14日,NFT發現和交易平臺KnownOrigin的Discord已被攻擊,http://knownoriginpass.io是釣魚網站,請用戶不要點擊任何Discord私信或鏈接。
6月21日,NFT項目NeoHunters官方推特發文稱,其官方Discord遭遇黑客攻擊,提醒用戶不要點擊任何鏈接。
6月22日,rrbayc.art系釣魚網站,謹防上當受騙。真正的RR/BAYC項目頁面已被OpenSea下架。
6月23日,http://punkcomics.net網站被認定為詐騙網站,詐騙者已經以0美元的價格獲得了Otherdeed、TheSandboxLAND等100多個NFT。
6月26日,Cardano鏈上NFT項目UglyBros的Discord遭到攻擊并發布包括網絡釣魚鏈接的公告。請社區用戶不要點擊任何鏈接與之交互。
6月26日,Web3安全分析師Serpent表示,已發現一種將盜取錢包內NFT的惡意文件偽裝成PDF文件的攻擊形式,目前TwitterID為@RabbitinM的藝術家已因此遭到了損失。
6月27日,加密KOLZachXBT在其社交網站發文表示,Nouns官方推特賬號被盜,黑客借機發布釣魚網站信息,提醒用戶謹慎點擊相關鏈接。
其他安全事件類型
6月9日,去中心化交易平臺ApolloX發布針對黑客攻擊事件的最新聲明,「一名黑客利用ApolloX的交易獎勵合約中的一個漏洞積累了255個簽名,然后使用這些簽名從提款合約中盜取了5300萬枚APXToken。
6月16日,包括MetaMask和Phantom在內的至少10款瀏覽器插件錢包由于Javascript語言中的某個問題導致可能存在暴露登錄信息的可能性,該漏洞會使得助記詞在內存中存儲一段時間從而被攻擊者利用。目前MetaMask及Phantom已修復了該漏洞。
6月24日消息,RibbonFinance發推表示遭遇DNS攻擊,某用戶損失16.5WBTC。
總結
從Defi安全形勢來看,本月安全事件中閃電貸攻擊和預?機操控仍然是常客,對于這些方面的安全需要項目方著重注意。同時跨鏈橋HarmonyBridge安全事件也提醒我們要保護好自己的私鑰,以及如何針對私鑰泄漏做到更好的安全防護。知道創宇區塊鏈安全實驗室在此提醒,對合約安全有必要做到常規審計和復合審計,保障合約免受其他攻擊影響,同時高度重視授權問題,對于授權要有明確的時間限制。
從網絡釣魚以及騙局跑日漸頻繁來看,用戶對于項目的鑒別能力弱,容易被項目方的高回報給騙進去,同樣的,釣魚事件也會利用各種免費餡餅勾引用戶進入他們設置的全套。用戶在進行投資的過程中也要多學習區塊鏈相關知識,盡可能減少自己的潛在損失。
新的一周,體育產業依舊有不少與Crypto有關的新聞。有新的聯盟采用NFT技術,更多的球星選擇Crypto伙伴。讓我們來看一看上周體育領域的重要Crypto新聞.
1900/1/1 0:00:00Polkadot生態研究院出品,必屬精品 背景 幾周前因為知名媒體的一篇《300萬人的第一雙“虛擬鞋”》,StepN徹底在國內互聯網圈火了一把,甚至引來了知名媒體大V劉潤老師的撰文.
1900/1/1 0:00:00Pizza節12年 5月22日,加密圈一年一度的Pizza節,十二年前的今天,一位程序員用10000枚比特幣購買了2塊披薩,比特幣第一次有了價格.
1900/1/1 0:00:00Vitalik在2021年曾說:Ingeneral,myownviewisthatintheshortterm.
1900/1/1 0:00:00一、DAO的定義、起源 DAO即DecentralizedAutonomousOrganization,譯為“去中心化自治組織”.
1900/1/1 0:00:00Tether與世界各地的執法部門緊密合作,協助調查,包括凍結錢包地址。我們幾乎每天都與執法官員聯系,并堅持及時回應他們的要求.
1900/1/1 0:00:00