EFI:PeckShield：2019年度區塊鏈安全復盤總結暨區塊鏈十大安全事件

如果說2018年，我們做區塊鏈安全擁有了“上帝視角”，那過去的2019年，我們則收獲了“圣母心態”。2018年，基于代碼技術底層，我們俯瞰交易所、錢包、礦池、DApp等生態各個環節，挖漏洞、搭態勢感知平臺、發威脅情報，向行業科普漏洞背后的技術原理，引領行業從一次次安全事件的“教育”中，加強安全防護，鞏固安全壁壘。2019年，通過滲透業務邏輯，我們深入智能合約、DeFi、地址溯源、暗網等不同產業底層，搭鏈上數據預警系統，搶先洞察安全威脅，深入社區協同開發者做應急響應，誓為行業發展掃平一切路障。據區塊鏈安全公司PeckShield數據顯示，2019年全年區塊鏈安全事件177起，造成的經濟損失高達76.79億美元，環比2018年增長了60%左右。過去一年，PeckShield敏銳觀察到：1）區塊鏈安全波及范圍面更廣了，從交易所到數字錢包，再到DeFi領域，越是離錢越近的地方，越會是黑客攻擊的重災區；2）開發者安全意識普遍有所提高，DApp、智能合約等原先存在的溢出、重放、隨機數等基礎型攻擊方式整體減少了，開發者安全防御普遍有所提高，倒逼黑客攻擊方式不斷演變；3）安全危機事發背后的原因越來越魔幻了，私鑰丟失、代碼預留后門、冷錢包被攻擊、創始人離奇死亡等花式“漏洞”亂花漸欲迷人眼，技術BUG易除，人性BUG難平；4）理財錢包詐騙、跑路事件等成為行業新患，基于普通大眾在區塊鏈技術上的認知盲區，不法分子炮制各類傳銷幣、模式幣、空氣幣攪亂行業風氣；5）交易所跨國境資產流動更加頻繁了，隨著數字資產的廣泛普及，區塊鏈生態頭號玩家“交易所”的中樞作用愈發凸顯，交易所之間資金流動的背后存在未監管資金大規模“出海”事實。交易所安全重回公眾視野

ApeCoin DAO計劃發起新提案AIP-155投票，擬設立100萬美元Bug賞金:金色財經報道，ApeCoin DAO已發起新提案AIP-155投票，投票將于美國東部時間1月13日晚9點開啟，并于1月18日結束。發起方為BAYC成員及 Snag Solution 創始人 Zheerwagen。

據悉，新提案擬設立100萬美元（或450萬枚APE）Bug賞金計劃，以支持并推動社區范圍內尋找漏洞，提升生態和APE持有者安全。[2023/1/13 11:10:11]

2019年05月08日，全球知名的交易所幣安被曝遭遇了黑客大規模系統性攻擊，黑客獲取了大量API密鑰，谷歌驗證2FA碼等信息，一次性提走了7,000枚BTC。這次突發的交易所安全事件，讓人聯想到去年3月份幣安的驚魂一夜，部分幣安用戶發現自己賬戶中的代幣被拋售，導致數字資產價格下跌10%。相比之下，今年幣安再遭一劫后，數字資產市場并沒有太大的波動，用戶在應對黑天鵝事件的心態正趨于成熟，且攻擊發生后，幣安創始人兼CEO趙長鵬隨即宣布通過SAFU進行全額賠付，很快將事件的負面影響平息了下來，最終，并沒有對二級市場造成太大沖擊。不過，這次事件暴露出了交易所安防面臨的挑戰尤為艱巨。幣安除了鞏固自身服務器安全之外，還得提防中間資產托管服務是否遭到木馬入侵，尤其是用戶客戶端遭劫持的情況下。這就倒逼交易所同樣需要從業務層加強審核機制，比如，自動化提幣額度分級，人工審核提幣等。事實上，在去年年底Upbit交易所被曝遭遇攻擊，損失了34萬ETH，再次給交易所安全敲響了警鐘，尤其是釣魚、API劫持、服務器木馬攻擊等等偶然性攻擊因素。這同時給市場提了一個醒，最大的安全風險可能不是來自企業防護層，而關系到每一個用戶的安全意識和操作習慣。DeFi安全成未來行業重災區

ApeCoin質押系統ApeStake.io已上線并積累質押獎勵:12月13日消息，Web3工具開發商Horizen Labs在推特上宣布，質押APE的獎勵現已上線并累積。

數據顯示，ApeCoin官方質押合約內已有超6830萬枚APE（或含APE獎勵），價值約2.98億美元。ApeStake.io頁面數據顯示，APE、BAYC、MAYC、BAKC四個質押池中的APE質押量分別為22218402.36枚、23249624.87枚、8756673.49枚、1897512.32枚，共計約合5612萬枚。

此前12月6日消息，ApeCoin質押系統ApeStake.io已正式上線并開啟預存期。[2022/12/13 21:40:31]

2019年，以太坊公鏈賽道跑出了DeFi這匹野馬，讓業界普遍認知到。區塊鏈技術基于DeFi金融應用場景獲得大規模落地應用的可能。目前DeFi應用中，以MakerDAO、Compound、dYdX、instaDApp等金融借貸平臺為主，主要滿足用戶抵押數字資產借貸穩定幣的需求，此外還發展出了諸如Synthetix、Augur等衍生品平臺。DeFi特有的類樂高積木似的可組合特性，讓DeFi賽道展現出超強的活力，很可能會是未來兩三年區塊鏈領域的焦點。DeFi產品基于智能合約和交互協議搭建，代碼普遍開源，資產完全在鏈上，極容易成為黑客攻擊的重心。今年05月07日，頭部DeFi借貸平臺MakerDAO被曝治理合約存在安全漏洞，PeckShield隨即介入參與，呼吁社區用戶盡快轉移暴露在危險下的MKR資產，同時獨立分析研究了漏洞細節，協助MakerDAO官方進行了漏洞修復，所幸最終并沒有產生任何攻擊損失。事實上，今年年初Compound、Nuo也先后被曝出過智能合約問題，在此后的半年時間內，Synthetix、0x協議、Edgeware等DeFi相關應用也被曝出存在潛在安全隱患。0x去中心化交易所協議合約在校驗訂單簽名時存在缺陷，受其影響一大批部署了0x協議的DEX平臺可能都存在潛在安全風險。不過，這些DeFi平臺在曝出安全威脅后，第一時間聯合安全公司進行了漏洞修復，最終并沒有產生較明顯的安全損失。但卻透露出一個危險信號，黑客已經盯上DeFi領域了。一旦DeFi平臺的資產抵押規模和受眾群體再上一個量級，這個領域很可能會是繼DApp之后的下一個安全事件多發區。理財錢包詐騙成行業新瘤

ApeCoin配對質押機制將使用戶在出售NFT后損失質押的代幣:金色財經報道，12月5日上線的ApeCoin質押系統支持用戶直接質押ApeCoin代幣，或將代幣與Bored Ape或Mutant Ape NFT配對質押。當配對質押時，只有代幣被鎖定在智能合約中，NFT仍然可以在OpenSea或任何其他市場上出售。當NFT售出時，持有者將失去質押的ApeCoin給NFT的買家，因為配對的NFT充當訪問密鑰。

PeckShield已報道了兩起該漏洞的受害者，一交易員使用來自dydx的82ETH（103000美元）快速貸款購買了BAYC#6762并認領了質押的6400枚APE（26240美元），然后交易員以88ETH的價格出售了NFT和ApeCoin，獲利6ETH。另一名交易員通過購買BAYC#1633獲利了近8個ETH。[2022/12/7 21:27:33]

2019年，PlusToken、TokenStore、OneCoin等理財錢包被曝跑路，卷走數百億數字資產，令數百萬投資者奔上了漫漫“維權路”。區塊鏈技術概念被一些不法分子包裝成低投入、高收入的理財模式，用來詐騙一些對區塊鏈行業認知欠缺的普通用戶。PlusToken號稱是一家在韓國注冊的加密幣錢包和交易所，其真實面目是一個用高回報吸引投資者的旁氏騙局。PlusToken許諾給投資者10%-30%的月息，并以高回報吸引大量投資者相繼投入了20萬枚BTC，78萬枚ETH，和2,600萬EOS等價值不菲的數字資產，涉及資金達到200多億人民幣，用戶超300余萬人，影響范圍非常廣且危害巨大。2019年6月29日，PlusToken用戶反饋無法提幣，項目方也被媒體曝光跑路，隨后又傳出六名主要負責人被中國逮捕。然而，其涉及的巨額贓款仍沒有追回并返還受害者。在隨后的數月內，PlusToken的BTC資產、ETH資產，EOS資產出現多次洗錢操作。PeckShield旗下可視化資產追蹤平臺CoinHolmes監控到，PlusToken的部分資產開始匯聚、分散轉移，再通過類似ChipMixer的工具進行混淆，再通過場外OTC的渠道賣出。但目前而言，只有少部分資金被洗成功了，大部分數字資產依然懸而未決，以至于一旦出現行情不明緣由大跌的情況，就有分析稱是PlusToken砸盤。PlusToken效應如同股市里的丁蟹效應一樣，成了大家畏懼的存在。不過，客觀來看，理財錢包的出現，能讓一部分普通用戶接觸到區塊鏈以及各類數字資產，給行業帶入新的流量和資金。短期看對行業是利好影響。然而，長期來看恰恰相反，隨著這類理財錢包的崩盤和跑路，大批的普通用戶會成為受害者，帶著偏見和認知差可能會永遠的告別這個行業。凡是過往，皆為序章。盡管過去三年以來，區塊鏈行業安全事件造成的經濟損失呈愈演愈烈之勢。我們通過黑客攻擊方式的演變以及生態目前面臨的安全威脅發現，區塊鏈行業安全正在從草莽期逐漸趨向成熟，表現在：1）出現了一批優秀的區塊鏈安全公司。他們專注于區塊鏈安全攻防，為行業生態提供專業的安全監測、態勢感知、威脅情報、AML可視化等專業化工具，和躲在區塊鏈黑暗森林的黑客，形成了一支相抗衡的正義力量;2）智能合約、DApp生態上一些簡單且具有連帶威脅的漏洞正逐漸減少。盡管黑客們仍持續進行撒網式的攻擊嘗試，但項目開發者基礎的安全攻防意識已初步形成，一些較為低級的安全漏洞明顯有所減少;3）交易所、理財錢包等離用戶比較近的平臺成為安全事件頻發的重災區，這是由于行業發展早期，用戶端安全意識薄弱造成的隱患。比如針對用戶進行的釣魚木馬入侵和高理財收益詐騙等。換個角度來看，說明區塊鏈市場的安全薄弱環節從B端已經轉移到了C端，安全守護工作逐漸變得可控、可防也是一種進步；4）數字資產“合規化”引領下一輪行業發展。一方面，國家頂層設計將區塊鏈技術定義為核心技術突破口，另一方面未受監管的數字資產數額越來越大。區塊鏈數字資產領域開始面臨“合規化”的新挑戰。包括，交易所KYT服務、AML反洗錢服務、黑客贓款追蹤服務等等。短期看，監管肅清可能會給生態帶來致命打擊，但長期看，被納入監管或許是下一輪高速發展的開端。附：2019年度區塊鏈十大安全事件

PeckShield：BSC鏈上項目收益農場EvoDefi遭到攻擊，GEN短時下跌57%:6月10日消息，PeckShield“派盾”預警顯示，BSC鏈上項目收益農場EvoDefi遭到攻擊，其代幣GEN價格從2.1美元/枚跌至0.9美元/枚，短時下跌57%。[2021/6/10 23:27:42]

公告 | Paydex推PEC鎖倉挖礦:近日，Paydex首推PEC鎖倉挖礦并結合流通產生價值的核心生態，PEC作為流通推廣的媒介，可以迅速讓整個生態系統落地應用。[2020/2/22]

Tags：APE區塊鏈DEFEFIESCAPE幣區塊鏈簡介defi幣多少錢一個Restaurant DeFi

MANA