【#區(qū)塊鏈# #每月動(dòng)態(tài)|Web3安全事件總損失約4.04億美元#】

概覽

據(jù)慢霧區(qū)塊鏈被黑檔案庫(kù)(https://hacked.slowmist.io) 統(tǒng)計(jì)，2024 年 2?月，共發(fā)生安全事件 28?起，總損失約 4.04 億美元，原因涉及合約漏洞、DDoS 攻擊、閃電貸攻擊、私鑰泄露和賬號(hào)被盜等。

主要事件

Phantom

2024 年 2 月 2 日，加密錢包 Phantom 表示遭 DDoS 攻擊，有人試圖過載其系統(tǒng)，一些服務(wù)可能會(huì)暫時(shí)中斷，用戶資產(chǎn)安全。隨后，Phantom 在推特發(fā)文表示，所有服務(wù)已恢復(fù)正常并再次順利運(yùn)行。

?(https://twitter.com/phantom/status/1753100432145318116)

Starlay Finance

2024 年 2 月 8 日，Polkadot 生態(tài)的借貸協(xié)議 Starlay Finance 遭攻擊，損失約 210 萬美元。2 月 9 日，Starlay Finance 發(fā)推稱初步分析表明，此次攻擊是由于流動(dòng)性指數(shù)計(jì)算錯(cuò)誤被利用，導(dǎo)致未經(jīng)授權(quán)的提款。

(https://twitter.com/starlay_fi/status/1755856271184654360)

PlayDapp

2024 年 2 月 10 日，區(qū)塊鏈游戲平臺(tái) PlayDapp 遭攻擊，黑客的地址被添加為鑄幣者，鑄造 2 億枚 PLA 代幣（約 3650 萬美元）。事件發(fā)生后不久，PlayDapp 通過鏈上交易給黑客發(fā)送消息，要求歸還被盜資金并提供 100 萬美元白帽獎(jiǎng)勵(lì)，但最終談判失敗。2 月 12 日，PlayDapp 遭二次攻擊，黑客又鑄造了 15.9 億枚 PLA 代幣（約 2.539 億美元）并開始通過加密貨幣交易平臺(tái)轉(zhuǎn)移。據(jù)統(tǒng)計(jì)，黑客攻擊導(dǎo)致約 2.9 億美元的損失。

(https://twitter.com/playdapp_io/status/1756060784692736038)

Duelbits

2024 年 2 月 14 日，加密博彩平臺(tái) Duelbits 的熱錢包遭攻擊，損失約 460 萬美元，被盜原因疑為私鑰泄露。

(https://twitter.com/Duelbits/status/1758159495807541459)

FixedFloat

2024 年 2 月 17 日，根據(jù)鏈上數(shù)據(jù)，加密貨幣交易平臺(tái) FixedFloat 遭攻擊，損失約 2610 萬美元的比特幣和以太坊。FixedFloat 針對(duì)此次攻擊事件澄清：這次黑客攻擊是由于安全結(jié)構(gòu)中的漏洞引起的外部攻擊，并不是由員工所實(shí)施，用戶資金并未受到“外部攻擊”的影響。2 月 18 日，F(xiàn)ixedFloat 在推特表示：“確認(rèn)確實(shí)存在黑客攻擊和資金被盜的情況，我們尚未準(zhǔn)備好就此事發(fā)表公開評(píng)論，因?yàn)槲覀冋谂ο袧撛诘穆┒?、提高安全性并進(jìn)行調(diào)查。FixedFloat 的服務(wù)將很快會(huì)恢復(fù)，稍后將提供有關(guān)此事件的詳細(xì)信息?！?/p>

(https://twitter.com/FixedFloat/status/1759216185185288653?s=20)

Blueberry Protocol

2024 年 2 月 22 日，DeFi 借貸協(xié)議 Blueberry Protocol 遭攻擊，損失約 457.7 ETH （約 135 萬美元），該攻擊被一位白帽黑客 c0ffeebabe.eth 攔截，366 ETH 被返還給了 Blueberry Protocol。據(jù) Blueberry Protocol 的事件分析報(bào)告顯示，此次攻擊是由于預(yù)言機(jī)部署錯(cuò)誤導(dǎo)致。

(https://medium.com/@blueberryprotocol/2-22-24-exploit-post-mortem-6f6be7c1dcc3)

BitForex

2024 年 2 月 23 日，總部位于香港的 BitForex 加密貨幣交易平臺(tái)疑跑路，其在多個(gè)區(qū)塊鏈上發(fā)生約 5650 萬美元的可疑資金外流后關(guān)閉了平臺(tái)的訪問權(quán)限。鏈上偵探 ZachXBT 最先注意到了該交易所的提款異動(dòng)，他指出，該交易平臺(tái)已停止處理提款，并且沒有回復(fù)客戶。該公司于 2023 年中因無證經(jīng)營(yíng)在日本面臨監(jiān)管審查，并被指控夸大交易量。其首席執(zhí)行官于一月份辭職，承諾將由新團(tuán)隊(duì)接任。

(https://twitter.com/zachxbt/status/1762028433574650347)

Jihoz

2024 年 2 月 23 日，Axie Infinity 聯(lián)合創(chuàng)始人 Jihoz 在推特發(fā)文表示：個(gè)人的兩個(gè)地址已泄露。此次攻擊的范圍僅為其個(gè)人賬戶，與 Ronin 鏈的驗(yàn)證或運(yùn)營(yíng)無關(guān)。此外，泄露的密鑰與 Sky Mavis 的運(yùn)營(yíng)無關(guān)。他想向大家保證，已對(duì)所有連鎖相關(guān)活動(dòng)都采取了嚴(yán)格的安全措施。據(jù)統(tǒng)計(jì)，此次攻擊導(dǎo)致約 1000 萬美元的損失。

(https://twitter.com/Jihoz_Axie/status/1760845078757511562)

Seneca

2024 年 2 月 28 日，全鏈 CDP 協(xié)議 Seneca 因合約漏洞遭黑客攻擊。黑客利用構(gòu)造的 calldata 參數(shù)，調(diào)用 transferfrom，將授權(quán)到該項(xiàng)目合約的代幣轉(zhuǎn)移到自己的地址上，最后兌換為 ETH。Seneca 被黑客盜走超 1900 枚 ETH，價(jià)值約 650 萬美元。2 月 29 日，Seneca 黑客將 1537 枚 ETH（約 530 萬美元）返還到 Seneca 部署者地址。

?(https://twitter.com/SlowMist_Team/status/1762865505042645010)

Shido Network

2024 年 2 月 29 日，Ethereum 鏈上去中心化的跨鏈協(xié)議 Shido Network 疑跑路。SHIDO 代幣質(zhì)押合約的所有者首先升級(jí)了質(zhì)押合約，然后提取了大量的 SHIDO，最后以 692 枚 ETH（約 210 萬美元）的價(jià)格拋售了大量的 SHIDO。

總結(jié)

在本月 28 起主要安全事件中，有 2 個(gè)項(xiàng)目（Blueberry Protocol 和?Seneca）共計(jì)追回約 638 萬美元的被盜資金；本月 3 起私鑰泄露事件的損失約達(dá) 3.04 億，約占本月安全事件總損失的 75%，慢霧安全團(tuán)隊(duì)建議用戶和項(xiàng)目方加強(qiáng)對(duì)私鑰的保護(hù)措施，例如使用硬件錢包、離線存儲(chǔ)等方式，提高私鑰的安全性；本月 4 起合約漏洞利用事件導(dǎo)致約 725 萬美元的損失，慢霧安全團(tuán)隊(duì)建議項(xiàng)目方始終保持警惕并定期進(jìn)行安全審計(jì)，跟蹤和解決新的安全威脅和漏洞，最大程度地保護(hù)項(xiàng)目和資產(chǎn)安全。最后，本文收錄的事件為本月主要安全事件，個(gè)人用戶被盜事件未納入統(tǒng)計(jì)。