DEFI:成都鏈安：9月典型安全事件超44起，整體風險評級“高”

據成都鏈安『安全態勢感知系統』數據監測顯示：2020年9月，在區塊鏈領域，多類型安全事件頻繁發生，整體形勢不容樂觀。根據不完全統計，本月出現的典型安全事件超過44起，相比上個月有所增加，成為今年歷史最高。典型安全事件統計

區塊鏈行業起步不久，技術發展整體處于探索階段。特別是，隨著DeFi的市場走紅，各種項目雨后春筍般崛起，技術底層、邏輯結構等諸多方面的鋪設相對薄弱，安全風險漏洞極易出現。因此，對于區塊鏈生態的每個環節而言，安全問題都必須放在首位，不容忽視。交易所方面共發生『6』起較典型的安全事件019月2日，首爾對韓國規模最大的加密貨幣交易所Bithumb進行搜查。該交易所被指控預售其價值300億韓元的BXA代幣，但從未將其上市，讓投資者遭受損失。02歐洲交易所ETERBASE于周一晚間被盜，涉及BTC、ETH/ERC-20、XRP、TRX、XTZ和ALGO相關的六個地址。該交易所沒有透露黑客攻擊造成的具體損失金額，但根據TheBlockResearch的統計，該交易所熱錢包損失超500萬美元。相關情況已報告給執法部門，該交易所正在密切配合調查。后續跟蹤資金轉移情況發現，目前大部分被盜資金在幣安等交易所。03日本加密貨幣交易所Fisco在美國法院提起了針對幣安的訴訟。Fisco聲稱，在2018年Zaif遭遇黑客入侵丟失6300萬美元的加密貨幣后，幣安為黑客洗錢提供了便利。04英國加密交易所Covesting發推稱，作為對庫幣安全漏洞的回應，以及保護受影響的COV代幣持有者，Covesting團隊已經凍結被舉報地址中的COV代幣。05斯洛伐克加密貨幣交易所Eterbase遭受黑客攻擊，共計有540萬美元的數字貨幣被盜。交易所稱，其六個熱錢包已被盜用，并且虹吸了比特幣，以太坊，Ripple，Algorand，Tezos和Tron的資金。06據庫幣官方公告，2020年9月26日凌晨03:05:37，官方發現了一次有計劃的黑客攻擊，根據目前的內部安全審計結果判斷，黑客通過獲取到庫幣早期熱錢包的備份鏡像發起提現攻擊，通過此次攻擊提走了部分熱錢包中的比特幣和ERC-20等代幣，價值約4800個比特幣，約占平臺總持有資金量的5%。

成都鏈安：Goldfinch項目的SeniorPool合約遭受攻擊，項目方累計損失超54萬美元:據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，Goldfinch項目的SeniorPool合約遭受攻擊，攻擊者累計獲利28523個USDC，項目方累計損失541158個USDC。經成都鏈安技術團隊分析，本次攻擊原因是攻擊者可以利用Curve的FIDU-USDC池子獲取FIDU代幣，來獲取SeniorPool合約抵押USDC代幣的紅利。目前Curve中FIDU兌換USDC為1:1.03, 而在SeniorPool中的比例為1:1.07，這就產生了套利空間。[2022/6/28 1:36:11]

DeFi方面共發生『14』起較典型的安全事件01ZenGo的研究人員已正確披露了在Diogenes協議證明中發現的漏洞。該證明旨在為以太坊2.0隨機信標鏈的可驗證延遲函數提供原始熵。02以太坊賬戶疑遭遇GasPrice攻擊，損失115個ETH。該用戶從交易所提現115.299個ETH到以太坊賬戶，到賬后被莫名其妙迅速轉出到另一個賬號。蹊蹺的是對方實際只收到6.46個以太坊，而轉賬的Gas費用卻高達108.83個以太坊，約36萬人民幣。03SushiSwap仿盤YUNoFinance(YUNO)與KIMCHI.finance(KIMCHI)智能合約均存在漏洞。智能合約擁有者可以利用漏洞，無限制地增發項目對應的代幣數目，繼而導致通脹并最終崩潰。049月3日晚間，以太坊研發者PhilippeCastonguay發推稱，DeFi項目BaconSwap和shroom.finance均存在時間鎖定漏洞，將允許項目所有者在沒有時間鎖定的情況下無限增發代幣。05BlockstreamResearch團隊宣布已經開發出一種解決方案MuSig-DN，可用于保護MuSig多簽方案的用戶免遭由惡意隨機數生成器和虛擬機重置攻擊導致的密鑰泄露攻擊。06開發人員在SushiSwap中發現了主要的治理缺陷，SushiSwap似乎很容易受到漏洞的攻擊，這個漏洞可以在不需要獲得新代幣的情況下成倍增加某人的治理能力。07EOSDeFi流動性挖礦項目EMD合約emeraldmine1的大量質押資金被轉移。其中，USDT正在通過DeFibox幣幣交易等渠道進行轉賣。08YFI仿盤SoftYearn的一名用戶因rebase機制漏洞用200美元獲得了25萬美元的回報。09EOS生態DeFi流動性挖礦項目“珊瑚”的wRAM遭到黑客攻擊，損失逾12萬EOS。截至9月10日已經有4.6萬個EOS被轉移至ChangeNOW進行洗錢。109月14日，bZx官方發推特稱，已經對iToken合約代碼出現的漏洞進行修復，并且協議已恢復正常運行。11DeFi穩定幣協議Lien發布公告表示，團隊的審計人員發現一個LienApp中的漏洞，決定暫時維護平臺以防止漏洞被利用。129月23日消息，DeFiPulse周二晚在Twitter上表示，已識別漏洞并修復，并且已更正了歷史數據。139月23日消息，此前被爆漏洞的DeFi項目Soda協議已于近日宣布修復漏洞，且新部署的智能合約預計9月22日21點生效。截至到9月23日，Soda協議的SoETH/WETH資金池內尚有等值ETH的2156個SoETH。149月29日，根據bluekirbyfi推特消息，yearn.finance創始人AndreCronje剛推出的游戲項目Eminence遭遇“Flash貸款”攻擊，黑客將800萬美元的資金返還給了yearn部署者合約。

成都鏈安：國內天穹數藏宣稱遭黑客攻擊，黑客利用虛假余額購買盜取用戶的藏品:5月17日消息，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，天穹數藏宣稱遭黑客攻擊，藏品售價異常高達近千萬元。根據平臺公告稱：平臺數據遭遇大量惡意攻擊，黑客利用虛假余額購買盜取用戶的藏品，導致數據異常，目前已恢復，平臺已第一時間報警處理。成都鏈安安全團隊初步分析，導致本次攻擊的原因猜測為：攻擊者通過傳統網絡安全攻破了平臺方數據庫，惡意篡改賬戶余額，導致大量用戶高價掛單仍可成交，最終導致數據異常。成都鏈安安全團隊建議：

1、 國內數字藏品平臺方在設計、實現和部署的過程中，要關注通信與網絡安全、主機安全、數據庫安全、移動安全等傳統安全領域，做好安全防護；

2、 國內數字藏品平臺方在運維的過程中，要做好金融風控的設計和實施，避免出現大規模資金異動而不自知的情況；

3、 數字藏品消費者在選擇交易平臺時，需要關注平臺合規風險，注意保障自身財產安全；

4、 數字藏品消費者警惕炒作風險和市場泡沫，避免泡沫破裂時造成財產損失。[2022/5/17 3:22:51]

Beosin評論本月DeFi項目安全問題頻繁暴露，技術代碼、業務邏輯等諸多方面對DeFi安全而言是不可忽視的漏洞多發地帶。成都鏈安再次呼吁各大項目方，在項目上線之前做好安全審計工作。同時，建議投資者注意查看安全審計報告，投資前謹慎選擇項目方。詐騙跑路/加密騙局方面共發生『3』起較典型安全事件019月26日，名為GemSwap的SushiSwap仿盤項目被曝跑路，LP被卷走。查詢發現，該項目曾發推自曝其遭受了“whatitdobb”開發者的攻擊。據了解，發起攻擊的開發者在流動性遷移完成之前就獲得了相關許可，能夠將流動池中的代幣取走，具體損失尚不明確。029月3日，德克薩斯州證券委員會(TSSB)專員TravisJ.Iles對兩起名為ForexBirds和PEKUniverse的加密騙局發出了緊急停牌令。他們被控欺詐發行與外匯(forex)和加密貨幣相關的證券。ForexBirds涉嫌向投資者承諾高達11%的收益，其存款最高可達100萬美元。03法國金融市場管理局發布了一份新的投資網站清單，這些網站沒有在該國境內運營的授權，其中包括所謂的數字資產服務提供商。據稱應用程序BitcoinFrance代表其客戶在加密貨幣市場進行交易，每天產生1000美元的收入，且沒有任何風險。很明顯，這些描述帶有投資欺詐的特征。

成都鏈安：fortress被盜金額已被轉換成1048eth并轉入了Tornado Cash:5月9日消息，據成都鏈安安全輿情監控數據顯示，fortress 遭受預言機價格操控攻擊，被盜金額已被轉換成1048eth并轉入了Tornado Cash。經成都鏈安技術團隊分析，本次攻擊原因是由于fortress項目的預言機FortressPriceOracle的數據源Chain合約的價格提交函數submit中，將價格提交者的權限驗證代碼注釋了，導致任何地址都可以提交價格數據。攻擊者利用這個漏洞，提交一個超大的FST價格，導致抵押品價值計算被操控，進而借貸出了項目中所有的代幣。

攻擊交易：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf

攻擊者地址：0xa6af2872176320015f8ddb2ba013b38cb35d22ad

攻擊者合約：0xcd337b920678cf35143322ab31ab8977c3463a45[2022/5/9 3:00:21]

勒索軟件/挖礦木馬方面共發生『9』起較典型安全事件01騰訊安全威脅情報中心檢測到新型挖礦木馬家族MrbMiner，黑客通過SQLServer服務器弱口令爆破入侵，爆破成功后在目標系統釋放C#語言編寫的木馬assm.exe，進一步通過該木馬與C2服務器通信，然后下載門羅幣挖礦木馬并維持挖礦進程。02特斯拉創始人ElonMusk埃在一條推文中證實，俄羅斯男子EgorIgorevichKriuchkov用100萬美元比特幣賄賂內華達州特斯拉工廠一名員工，以便在特斯拉的計算機網絡上安裝勒索軟件。03阿根廷官方移民局DirecciónNacionaldeMigraciones遭遇Netwalker勒索軟件攻擊，暫時停止了出入該國的邊境。黑客要求贖金400萬美元。阿根廷政府拒絕與黑客談判，也不會支付贖金。04黑客向以色列納斯達克上市無線芯片和攝像頭傳感器制造商TowerSemiconductorLtd進行勒索軟件攻擊，并索要數十萬美元比特幣贖金。05智利三大銀行之一的BancoEstado銀行7日不得不關閉其全國性業務，原因是受到了REvil勒索軟件的網絡攻擊。據悉，REvil以拍賣在攻擊中竊取的數據而聞名，并經常要求使用Monero(XMR)支付贖金。06動視暴雪《使命召喚：戰區》的玩家抱怨帳戶被盜。在某些情況下，黑客要求進行比特幣支付以贖回游戲賬戶。黑客提供的地址迄今為止已收到1.2BTC。07巴基斯坦最大的電力生產商K-Electric遭遇勒索軟件攻擊，黑客索要約770萬美元的比特幣贖金。08數據中心和托管巨頭Equinix遭到了Netwalker勒索軟件攻擊，威脅參與者要求450萬美元購買一個解密器，以防止泄露被盜數據。099月13日消息，不久前，杭州市高新區一家民營企業向機關報案，稱有人惡意攻擊該公司官網，并勒索1個比特幣。接到報案后，偵查機關很快鎖定了犯罪嫌疑人鐘某。濱江區檢察院以破壞計算機信息系統罪對鐘某提起公訴，鐘某被法院判處有期徒刑五年零六個月。

巧克力COCO智能合約已通過Beosin(成都鏈安）安全審計:據官方消息，Beosin（成都鏈安）近日已完成巧克力coco智能合約項目的安全審計服務。據介紹，巧克力COCO是基于波場底層打造的一個去中心化開放金融底層基礎設施。結合波場TICP跨鏈協議，訂單簿DEX，智能挖礦等等功能的創新和聚合，進而打造全面去中心化金融平臺。巧克力COCO無ICO、零預挖且零私募，社區高度自治。合約地址：THTpbtqfoGmL6HwqaGrWKd7aJAcUTbCnoC審計報告編號：202010042149[2020/10/5]

暗網方面共發生『2』起較典型安全事件019月2日消息，美國司法部于周二宣布暗網市場AlphaBay調解員BryanConnorHerrell被判處11年監禁，AlphaBay是一個可以通過Tor洋蔥路由器路由器進入的暗網違禁品市場。違法者使用加密貨幣如比特幣、門羅幣以太坊進行交易。02由美國司法部、和暗網聯合執法小組和歐洲刑警組織等多個組織共同執行的打擊暗網犯罪的行動中沒收超650萬美元現金和虛擬貨幣。其他方面共發生『10』起較典型安全事件01開發BitBox硬件錢包的瑞士公司ShiftCrypto透露，在Trezor和KeepKey硬件錢包中發現了一個漏洞，該漏洞允許攻擊者在不靠近設備的情況下持有用戶的加密貨幣以進行勒索。02瑞士硬件錢包提供商ShiftCrypto表示，Trezor和KeepKey硬件錢包中存在一個漏洞，可能會引發潛在的贖金攻擊。Trezor硬件錢包的制造商SatoshiLabs向ShiftCrypto支付了賞金，并表示在最近發布的升級中已經解決了這個問題。03風險投資家TimDraper此前聲稱購買BCH或為烏龍事件。9月5日凌晨TimDraper突發推特稱已購買BCH，并對RogerVer表示感謝。該條推文也引起了加密社區的關注。但OpenNode聯合創始人Jo?oAlmeida隨后證實，TimDraper推特賬戶已被泄露。049月9日早間，加密瀏覽器Brave官方發推宣布，已整合網絡安全公司PhishFort的開源解決方案，防止網絡釣魚攻擊。此后Brave將檢測加密騙局，并警告用戶有關的可疑域名。05目前有一個比特幣錢包成為了眾多黑客的攻擊對象，該錢包有69370枚BTC，價值7.14億美元。目前這個錢包還沒被人破解。069月16日，美國司法部、美國國土安全部和美國財政部外國資產控制辦公室宣布，已對兩名使用復雜的網絡釣魚活動從三個不同的加密貨幣交易所的客戶那里竊取至少1680萬美元的俄羅斯國民實施制裁。079月22日，加密衍生品交易所Deribit發推稱，凌晨遭遇DDOS攻擊，使得平臺服務器難以訪問。官方正在阻止攻擊。目前，DDOS攻擊已被阻止，官方已采取措施減少其他潛在問題。08閃電網絡大額通道wumbo存在漏洞，使攻擊者可以在幾乎不費力氣且零成本的情況下攻擊支付通道，或導致通道癱瘓兩周。09加密交易所Kraken的首席安全官NickPercoco宣布，已在Kraken上發布了四個新的安全增強功能，將從今天開始向該交易所的所有客戶開放。包括安全防護、安全檢查、設備批準和設備管理，其中“設備批準”功能將特別對抗網絡釣魚攻擊。109月25日，據外媒報道，一種名為Alien的新木馬病正在攻擊Android手機上的加密應用程序，被攻擊對象包括Coinbase、Blockchain.com和Luno。

仙人掌CTS智能合約已通過Beosin(成都鏈安）安全審計:據官方消息，Beosin（成都鏈安）近日已完成仙人掌CTS智能合約項目的安全審計服務。

?仙人掌CTS是基于波場底層打造的一個去中心化開放金融底層基礎設施。結合跨鏈，同時包含去中心化穩定數字貨幣，去中心化預言機，去中心化保險，流動性挖礦，智能挖礦等等功能的創新和聚合，進而打造全面的去中心化金融平臺。仙人掌CTS代幣無ICO、零預挖且零私募，社區高度自治。仙人掌CTS將會在9月28日晚20點上線Justswap,并開啟流動性挖礦。

合約地址：TST5pvck2DSYXJk3hkuGH3t1AisCAT4t1s

審計報告編號：202009262149[2020/9/28]

鑒于當前區塊鏈安全領域的新形勢，『成都鏈安』溫馨提示從總體上看，9月區塊鏈安全事件較8月份有所增加，整體安全事件發生數量較高。區塊鏈安全形勢依然嚴峻。本月DeFi項目仍是安全熱點話題，又有許多項目的智能合約被爆出漏洞，甚至一些已經被黑客攻擊利用，造成了損失。成都鏈安在此呼吁項目方，在進行合約代碼編寫時，一定要保持嚴謹的邏輯，在項目上線之前，尋找專業的安全公司做好安全審計工作。此外，本月發生的詐騙跑路事件較少，但是廣大用戶仍然不能放松警惕，在選擇項目的時候仍然需要保持謹慎，留心考察項目資質、安全審計報告等。

Tags：EFIDEFIDEF比特幣IDEFIWorld of DefishKong Defi比特幣最新價格美元新浪財經

USDC