ANC:2021年區塊鏈安全年度總結

2021年對于區塊鏈來說是一個巨大的里程碑，無論是對于用戶量還是對于機構接受程度。鏈資產比重都遠超歷史上的任何其他時期。

與此同時，興起了許多多元化的事物如號稱終極未來的元宇宙、邊玩邊賺的GameFi以及鏈鏈互信的跨鏈等。而各類傳統DefiDapp也加速了步伐迎來了全新的升級，如UniswapV3,AaveV3等新版協議問世。

種種這些，不僅為區塊鏈生態帶來了活力，同時也帶來了全新的安全挑戰。現在請跟隨?知道創宇區塊鏈安全實驗室?的視角一起回顧2021區塊鏈安全生態以及各月份的典型安全事件。

2021區塊鏈安全生態速覽

據知道創宇區塊鏈實驗室不完全統計數據，截止本文發稿前，2021年區塊鏈可供查詢的相關安全事件為312起，直接損失超100億美元。

對比往年數據來說依然是一個令人心悸的走高態勢。蓬勃發展的多鏈系統，鏈鏈互信的跨鏈需求，新鏈上的花式仿盤，都為這一龐大的數字做出了相應的"貢獻"。

在安全事件方面我們使用了6個緯度來進行統計，分別是?交易所、DeFi、跑路、錢包、公鏈、其他。其中以DeFi安全尤為突出達到了?141起。

該原因主要在于區塊鏈底層技術愈加趨向成熟，但合約實現規范還沒有充分完備化和體系化，審計還沒有被足夠的落實。尤其合約具備著直接擔當著資金載體和運行邏輯的功能，這使得越來越多黑客將目標瞄向該領域。

另一方面，攻擊者利用閃電貸和鏈上監控愈發成熟。使得攻擊面得以被充分暴露，同時各個項目方對于協議的實現也存在著巨大的差異，這些種種，無疑皆助長了該攻擊的廣泛性和頻繁性。

2023年上半年有100多個加密貨幣rugpulls損失約2.195億美元:金色財經報道，PeckShieldAlert發推稱，在2023年上半年，有100多個加密貨幣rugpulls損失約2.195億美元，與2022年上半年保持相同的速度。[2023/7/21 15:50:10]

在資金損失方面則是跑路/騙局尤為嚴重，損失總計超?64億美元。相較于DeFi安全事件的多發性來說，跑路/騙局對人們造成的經濟損失更加明顯。

跑路的方式由于Owner權限過大、合約可升級、DAO比例操控等等難以避免。同時由于區塊鏈的不可追溯性導致該行為風險變得非常的低，甚至有項目方直接在群組公開宣告自己跑路的行徑，導致大量用戶失去信心。

無論是交易所清退詐騙、鏈上蜜罐、假錢包、轉賬釣魚，花樣眾多的攻擊方式也為鏈安全帶來了新的挑戰。當然，這不僅僅應該完全依賴安全公司，更多的還應該寄希望于群體安全意識提升的落地。

2021各月份典型安全事件回顧

Ⅰ：挑戰伊始

關鍵詞：權限控制，手續費

1月27日，SushiSwap因收取手續費的函數存在權限控制缺陷，被黑客利用操控了DIGG/WETH交易對的滑點，從而套取了WBTC/DIGG交易對的手續費。

安全月度風險評估：低

月度評價：新年伊始，但不應該是新漏洞的開始

Ⅱ：風雨初現

關鍵詞：閃電貸，無限授權

YearnFinance被攻擊，黑客利用閃電貸操控3pool代幣平衡，并通過yDai保險庫放大差異，獲利280萬美元，而保險庫損失超1100萬美元。

DeFi平臺Shell Protocol將推出治理Token SHELL:4月26日消息，DeFi平臺Shell Protocol在社交媒體發文表示，該項目即將推出其治理Token SHELL。[2023/4/26 14:27:43]

以太坊協議組合工具Furucombo智能合約被爆出存在請求授權權限過高問題，黑客可通過向Furucombo代理添加攻擊合約，從而獲得影響用戶賬戶的權限，該漏洞影響超1400萬美元。

安全月度風險評估：中

月度評價：同類型漏洞相繼爆發，需做好安全預警

Ⅲ：花式危險

關鍵詞：雙花交易，錯誤鑄幣，權限控制

去中心化交易所?DODO?因未對init進行權限控制，導致黑客在進行閃電貸歸還操作時通過init函數將需要歸還的代幣修改為自己提前加入pool的垃圾代幣，從而規避校驗以次充好，損失超200萬美元。

PaidNetwork?鑄幣功能存在漏洞，被利用鑄造超?6000萬枚PAID代幣。

Filecoin由于節點特性出現“雙花交易”漏洞。

安全月度風險評估：高

月度評價：漏洞類型花樣百出，但核心都是資金安全

Ⅳ：經典重現

關鍵詞：重入攻擊，協議兼容性

Uniswap上的imBTC池遭到黑客攻擊，漏洞原因是Uniswap與ERC777協議出現兼容性問題，當交易產生時，ERC777中的迭代調用tokensToSend可以被用來實現重入攻擊，損失超30萬美元。

匿名團隊LEOresearch通過空投賺取近100萬美元:金色財經報道，據The Block報道，俄羅斯匿名團隊 LEOresearch 通過空投活動賺取了近100萬美元。LEOresearch 自 2020 年以來一直在加密領域開展業務。他們維護著一個 Telegram 頻道，以及一個由 6,000 名成員組成的活躍聊天室，將加密信息推送給 56,000 多名俄語用戶。

在加密牛市期間，LEOresearch 專注于通過投資代幣銷售和發行來賺錢。熊市中，他們將“空投狩獵”（Airdrop Farming）變成一項業務。據報道，該團隊在 Blur 空投中賺取了大約 300,000 美元，通過 Arbitrum空投賺取大約 180,000 美元，Aptos 125,000 美元，Optimism 120,000 美元。[2023/4/7 13:48:59]

安全月度風險評估：低

月度評價：經典漏洞以全新方式體現，說明安全理念并不會停滯，需要時刻進步

Ⅴ：八方風雨

關鍵詞：重入攻擊，協議沖突，滑點，閃電貸

合成資產協議SpartanProtocol遭到閃電貸攻擊，由于添加/移除流動性存在滑點修正機制的差別導致套利，損失3050萬美元

機槍池項目ValueDeFi由于協議組合存在的沖突隱患遭到攻擊，損失1000萬美元，2天后再次遭到攻擊，損失1100萬美元；

PancakeBunny遭到閃電貸攻擊，由于LP代幣價格計算問題導致套利，損失約4500萬美元；

BurgerSwap遭到閃電貸攻擊，由于重入漏洞和架構問題導致套利，損失約330萬美元；

數據：比特幣礦工持有 1837138 枚 BTC，處于 2021 年 12 月以來最低水平:金色財經報道，據鏈上數據平臺 CryptoQuant 的數據顯示，比特幣礦工的儲備目前為 1,837,138 枚 BTC，處于 2021 年 12 月以來的最低水平。該數據平臺貢獻者 CoinLupin 認為，礦工仍在出售其 BTC 儲備，可能是為了在市場逆轉時支撐資本。

另外，來自 MiningPoolStats 等平臺數據證實，比特幣的哈希率在 1 月 26 日創下歷史新高，均值超過 275 EH/s。[2023/1/26 11:31:08]

安全月度風險評估：高

月度評價：本月是閃電貸攻擊多發月份，造成的損害也及其重大，所以必須不放過任意可能存在漏洞的細節，避免無法挽回的結果。

Ⅵ：風雨依舊

關鍵詞：薅羊毛，錯誤變量，address(this)，閃電貸

PancakeBunny項目仿盤PancakeHunny項目遭遇黑客攻擊，主要漏洞原因在于mintFor函數錯誤地使用合約余額作為參數，且兌換HunnyToken使用的固定參數，導致套利可行。

以太坊DeFi項目Alchemix的alETH合約出現安全問題，由于部署腳本錯誤的創建vault值并在調用中使用了錯誤的索引，導致用戶獎勵超發

BSC鏈上DeFi協議xWinFinance遭到閃電貸攻擊，合約未對獎勵推薦人地址做校驗，導致同一地址推薦人獎勵可累計。

安全月度風險評估：中

高月度評價：本月閃電貸攻擊依然多發，其提醒著控制變量值得反復審計。

韓國加密交易所Korbit與清潭傳媒簽署NFT銷售協議，計劃10月推出NFT2.0交易所:8月24日消息，韓國加密交易所 Korbit 宣布已與清潭傳媒簽署銷售 NFT 的業務協議。通過該協議，清潭傳媒計劃將自己的知識產權（IP）、故事內容轉化為 NFT，并在 Korbit 的 NFT 交易所上展示。NFT 銷售由 Korbit 獨家處理，預計將于今年下半年開始發售，尚未決定發行 NFT 的區塊鏈。

同時，Korbit 計劃在今年 10 月左右推出 NFT 2.0 交易所，NFT 2.0 交易所計劃不僅支持以太坊，還支持 Solana 和 Klaytn 等區塊鏈。（CoinDesk Korea）[2022/8/24 12:45:04]

Ⅶ：邏輯理性

關鍵詞：私鑰，雙花攻擊，tx.origin，邏輯漏洞

去中心化跨鏈交易協議Anyswap遭到攻擊，漏洞原因在于其V3路由器MPC帳戶下存在兩個v3router交易，這兩個交易具有相同的R值簽名，攻擊者可以反推出MPC賬戶的私鑰，損失約800萬美元。

BSV網絡遭受惡意攻擊，造成多個區塊重組，攻擊者借此進行了雙花攻擊。

去中心化跨鏈交易協議THORChain遭受多次攻擊，因其代幣特性tx.origin可被用做釣魚，損失約?2500萬美元。

收益耕作協議PolyYeldFinance遭受攻擊，因其轉賬時存在實際到賬少于轉出的缺陷，被黑客利用控制了MasterChef合約中代幣，實現超額獎勵。

安全月度風險評估：中高

月度評價：本月存在各類型的邏輯漏洞，涉及私鑰、轉賬已經功能特性等，需做更全面的考慮。

Ⅷ：危險之最

關鍵詞：年度損失之最，重入攻擊，同類型協議攻擊，閃電貸

以太坊上DeFi協議PopsicleFinance遭遇閃電貸襲擊，漏洞原因在于PLP池合約對手續費獎勵的計算存在缺陷，損失2,070萬美元；

跨鏈協議PolyNetwork遭到攻擊，由于函數缺陷導致keeper可被修改，這次攻擊被稱為年度最大黑客事件，損失約6.1億美元；

BSC鏈上DeFi項目Dot.Finance遭受閃電貸攻擊，這次攻擊屬于PancakeBunny同類型協議攻擊，損失近43萬美元，迄今為止，此類攻擊已造成損失超5,000萬美元；

以太坊上的DeFi協議CreamFinance遭遇重入漏洞襲擊，損失超1800萬美元；

安全月度風險評估：高

月度評價：本月各類攻擊損失都十分巨大，還有著堪稱全年損失之最的PolyNetwork攻擊，該月份攻擊不僅影響到新興的跨鏈項目也對同類型的協議敲響警鐘，這份影響持續著整個區塊鏈安全生態。

Ⅸ：問題依舊

關鍵詞：初始化攻擊，恒定乘積校驗，預言機操控，閃電貸

NFT賽馬項目DeRac被攻擊，其漏洞原理是：Vesting合約未進行init未初始化保護，從而讓黑客初始化了init中他想要的參數，最后通過緊急提款函數提取了合約資金，損失約400萬美元。

去中心化交易所NowSwap遭到黑客攻擊，由于沒有修改swap函數的參數導致閃電貸的恒定乘積校驗邏輯失效，攻擊者返還部分閃電貸金額即被認為是完全歸還，從而實現了攻擊，損失金額超100萬美元。

借貸協議Vee.Finance，超3500萬美元資產被盜，據官方調查，極可能是小數點未精確以及權限校驗問題導致預言機價格被操縱。

去中心化借貸協議?Compound?出現變量設置錯誤轉移了更多的COMP代幣，該漏洞損失約28萬枚COMP代幣。

安全月度風險評估：高

月度評價：本月各類攻擊損失依然巨大，但相較于新型漏洞，大多數漏洞都屬于可追溯漏洞即已經出現過的漏洞。

Ⅹ：漏洞多樣化

關鍵詞：價值描述，修補方案，多次攻擊

以太坊上被動收益協議IndexedFinance遭到攻擊，其漏洞產生的原因在于協議通過一種代幣來描述整個礦池價值，損失約1600萬美元。

去中心化借貸協議Compound在試圖通過社區提案修補流動性挖礦代幣分發合約含有的漏洞的同時，因為?drip()函數的調用而向漏洞合約打入了20萬枚comp代幣，由此該協議已面臨?1.58億美元的潛在損失。

以太坊上DeFi借貸協議CreamFinance再遭受攻擊，此次攻擊產生的核心代碼原因在于價格因子pricePerShare通過簡單的資產數額占比來動態定價，損失約1.3億美元。

安全月度風險評估：高

月度評價：各種漏洞產生的情況也是各有不同，有礦池功能存在問題、有兌換功能存在問題、甚至有鑄幣功能存在問題等，但是CreamFinance該年度已經多次遭受攻擊實屬應該做好防護。

Ⅺ：問題多元化

關鍵詞：預言機操控，治理攻擊，私鑰泄露

以太坊上的DeFi協議VesperFiFianance遭遇預言機操控攻擊，損失超?300萬美元。

Curve.Finance遭Mochi穩定幣USDM團隊「治理攻擊」，損失超3000萬美元。

DeFi借貸協議bZx在Polygon和BSC鏈上的私鑰泄露事件已導致超5500萬美元資產被盜。

安全月度風險評估：高

月度評價：該月份同樣問題嚴重，有傳統的預言機安全問題、私鑰泄露問題甚至還有著項目方反擼礦工的操作。

Ⅻ：經典再現

關鍵詞：閃電貸，重入

Fantom鏈上復合收益平臺GrimFinance遭遇了閃電貸攻擊，攻擊者利用depoistFor函數不存在token校驗，通過將token地址指向自己的攻擊合約實現重入攻擊，損失超3000萬美元。

Definer遭遇預言機操控攻擊，問題在于OEC鏈上對于預言機的實現存在問題，使用了單一流動池在一個時間點的池內代幣余額作為價格源從而導致了事故的發生。

安全月度風險評估：中

月度評價：傳統的預言機安全問題與重入安全問題，但是殺傷力依舊巨大。

總結

凡是過去，皆為序章。

2021年，注定是不平凡的一年。對區塊鏈而言，各種新事物不斷出現的同時，也產生了諸多的安全問題，同時帶來了全新的安全挑戰。

在這些種種安全事件中最亮眼的名詞當屬閃電貸，在上述經典攻擊事件中閃電貸工具被使用了數10次。而攻擊難度低，收益高的跑路和詐騙也時有發生。每年對于區塊鏈安全所造成的損失也仍在不斷增加，并且沒有一絲暫緩之勢。

在這些攻擊中，DeFi仍是區塊鏈安全的重災地，由于各種項目方實現的多樣性和復用代碼造成的理解差異，導致了如此多的經濟損失值得每一個人深思。這不是某一個人或者某一個組織的事，而是需要整體行業大眾普遍安全意識的提升。

最后，希望大家在新的一年中，以此為鑒，砥礪前行。

來源：金色財經

Tags：EFIANCDEFIDEFdefi去中心化交易所下載French Connection Finance99DEFI.NETWORKDefi Shopping Stake

酷幣交易所