PLA:Beosin 2月安全月報：NFT釣魚事件大幅增加，各類攻擊事件損失總金額約5688萬美元

原文來源：Beosin

又到了每月安全盤點時刻！據區塊鏈安全審計公司?Beosin?旗下?BeosinEagleEye?安全風險監控、預警與阻斷平臺監測顯示，?2023?年?2?月，各類安全事件數量和涉及金額較?1?月大幅增加。2?月發生較典型安全事件超『?21?』起，各類攻擊事件損失總金額約?5688?萬美元，較?1?月上漲約?288%?。

本月共發生了?8?起百萬美元以上的安全事件，包括?MyAlgo、PlatypusFinance、ShataCapital等。本月約有一半的損失金額來自于針對個人用戶的攻擊：錢包?MyAlgo?被盜，約?25?個用戶地址總計損失超過?920?萬美元；NFT釣魚事件大幅增加，至少有超?2000?萬美元的各類?NFT?資產被盜。

Beosin：Avalanche鏈上Platypus項目損失850萬美元攻擊事件解析:2月17日，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、 預警與阻斷平臺監測顯示，Avalanche鏈上的Platypus項目合約遭受閃電貸攻擊，Beosin安全團隊分析發現攻擊者首先通過閃電貸借出4400萬USDC之后調用Platypus Finance合約的deposit函數質押，該函數會為攻擊者鑄造等量的LP-USDC，隨后攻擊者再把所有LP-USDC質押進MasterPlatypusV4合約的4號池子當中，然后調用positionView函數利用_borrowLimitUSP函數計算出可借貸余額，_borrowLimitUSP函數會返回攻擊者在MasterPlatypusV4中質押物品的價值的百分比作為可借貸上限，利用該返回值通過borrow函數鑄造了大量USP（獲利點），由于攻擊者自身存在利用LP-USDC借貸的大量債務（USP），那么在正常邏輯下是不應該能提取出質押品的，但是MasterPlatypusV4合約的emergencyWithdraw函數檢查機制存在問題，僅檢測了用戶的借貸額是否超過該用戶的borrowLimitUSP（借貸上限）而沒有檢查用戶是否歸還債務的情況下，使攻擊者成功提取出了質押品（4400萬LP-USDC）。歸還4400萬USDC閃電貸后， 攻擊者還剩余41,794,533USP，隨后攻擊者將獲利的USP兌換為價值8,522,926美元的各類穩定幣。[2023/2/17 12:12:32]

DeFi方面

Beosin：EthTeamFinance項目遭受到了漏洞攻擊事件簡析:據Beosin EagleEye 安全預警與監控平臺檢測顯示，ETH鏈上的EthTeamFinance項目遭受漏洞攻擊，攻擊合約0xCFF07C4e6aa9E2fEc04DAaF5f41d1b10f3adAdF4通過LockToken合約的migrate函數沒有正確驗證_id和params的漏洞，將WTH，CAW，USDC，TSUKA代幣從V2流動性池非法升級到V3流動性池，并且通過sqrtPriceX96打亂V3流動池的Initialize的價格，從而獲取大量refund套利。共計套利了約1300多萬美元。[2022/10/27 11:49:12]

Polygon鏈上?BonqDAO?遭受黑客攻擊，據官方統計，損失約?185?萬美元。

聲音 | Beosin（成都鏈安）預警：某EOS競猜類游戲遭受攻擊 損失超1200枚EOS:根據成都鏈安區塊鏈安全態勢感知系統Beosin-Eagle Eye檢測發現，今日上午 8:53:15開始，黑客yunmen****對EOS競猜類游戲th****sgames發起攻擊。截止到現在，該黑客已經獲利超過1200枚EOS。Beosin建議游戲項目方應該加強項目運維工作，在收到安全公司的安全提醒之后第一時間排查項目安全性，才能及時止損，同時也呼吁項目開發者應該重視游戲邏輯嚴謹性及代碼安全性。Beosin提醒類似項目方全方面做好合約安全審計并加強風控策略，必要時可聯系第三方專業審計團隊，在上鏈前進行完善的代碼安全審計，防患于未然。[2019/4/3]

No.22?月?3?日，OrionProtocol項目因合約交換功能沒有重入保護而被黑客攻擊，攻擊者獲利約?302?萬美元。

動態 | Beosin預警：cubecontract遭受攻擊 攻擊者已獲利:Beosin（成都鏈安）預警，今天下午14:46-14:51之間，根據成都鏈安區塊鏈安全態勢感知系統Beosin-Eagle Eye檢測發現，黑客justjiezhan1向EOS競猜類游戲cubecontract發起攻擊且已經獲利。在此之前，黑客justjiezhan1已于12:00:41左右開始部署攻擊合約，成都鏈安安全分析人員初步分析認為攻擊者仍然與之前的攻擊手法相同，為交易阻塞攻擊。在此我們建議游戲合約開發者應該重視游戲邏輯嚴謹性及代碼安全性，同時呼吁游戲項目方在項目上鏈前進行完善的代碼安全審計，必要時可借助第三方專業審計團隊的力量防患于未然。[2019/3/18]

No.3?2?月?4?日，穩定幣項目?SperaxUSD?因多簽錢包內部漏洞被攻擊，黑客鑄造了?97?億枚?USDs，獲利?31?萬美元。

No.4?2?月?8?日，LianGo?項目方疑似私鑰泄露，損失約?126?萬美元。

No.5?2?月?10?日，dForce?遭受黑客攻擊，損失約?370?萬美元。

No.62?月?17?日，Avalanche鏈上的Platypus項目遭受閃電貸攻擊，損失約?850?萬美元。

No.7?2?月?17?日，Dexible項目因合約中函數邏輯漏洞遭受攻擊，被盜約154?萬美元。

No.82?月?21?日，Cosmos生態?Layer?1?公鏈?Kujira?遭到黑客攻擊，損失約?23?萬美元。

No.92?月?24?日，多鏈DeFi協議?FEG?遭到攻擊，損失約?20?萬美元。該項目?2022?年?5?月也遭受過兩次攻擊，當時損失分別為?130?萬美元和?190?萬美元。

No.102?月?24?日，ShataCapital合約在升級后遭受黑客攻擊，黑客獲利約?510?萬美元。

No.112?月?27?日，SwapX?合約因關鍵函數缺乏鑒權而遭到攻擊，多個授權給該合約的代幣遭受了損失，涉及金額約?90?萬美元。

共發生『?3?』起典型安全事件

No.12?月?22?日，NFT項目?CryptoNinjaWorld合約存在嚴重漏洞，允許任何人銷毀該系列?NFT。

No.22?月?24?日，NFT?工具套件NFTCloud?遭受攻擊，損失約?8?萬美元。

No.32?月發生了多起?NFT?釣魚事件，至少有超?2000?萬美元的各類?NFT?資產被盜，包括?BAYC、Otherdeed、Doodles、Meebits、mfers?等。

共發生『?1?』起典型安全事件

No.12?月?19?日至?21?日，Algorand生態錢包MyAlgo?遭受攻擊，約有?25?個錢包被盜，用戶損失資金超過?920?萬美元，攻擊原因仍在調查中。

共發生『?2?』起典型安全事件

No.12?月?7?日，WOOF?代幣通過后門代碼發生?rugpull，部署者獲利?11?萬美元。

No.22?月?21?日，Arbitrum鏈上?HopeFinance?發生?rugpull，詐騙者提取了?180?萬美元并轉入TornadoCash。

共發生『?4?』起典型安全事件

No.1澳大利亞搗毀一澳大利亞華人洗錢集團，查封超?1?億美元資產中包括加密貨幣。

No.2韓國?QRC?銀行?CEO?因加密投資欺詐罪被判?10?年監禁，涉案金額近?1.6?億美元。

No.3加密貨幣交易平臺EminiFX的?CEO?因欺詐認罪，面臨最高10年監禁。

No.4Forsage的創始人因涉嫌3.4億美元的DeFi龐氏騙局而被起訴。

鑒于當前區塊鏈安全領域的新形勢，『Beosin』在此總結：

從總體上看，?2023?年?2?月各類區塊鏈安全事件涉及金額較?1?月大幅增加。1?月各類攻擊事件損失總金額約?5688?萬美元，較?1?月上漲約?288%?。

本月有更多的被盜資金被追回：例如?dForceNetwork?事件，黑客返還了全部盜取的?365?萬美元；涉嫌攻擊?Platypus?項目的黑客被法國逮捕。可以預見，全球加密貨幣監管是必然趨勢，預計未來會有更多被盜資金被追回的案例。2?月仍然有約?50%?的攻擊事件源于合約漏洞利用，建議項目方上線前一定要尋求專業的公司進行審計，用戶在與項目交互前也應仔細查看審計報告，避免資金受到損失。

Beosin?作為一家全球領先的區塊鏈安全公司，在全球?10?多個國家和地區設立了分部，業務涵蓋項目上線前的代碼安全審計、項目運行時的安全風險監控、預警與阻斷、虛擬貨幣被盜資產追回、安全合規?KYT/AML?等“一站式”區塊鏈安全產品服務，目前已為全球?3000?多個區塊鏈企業提供安全技術服務，審計智能合約超過?3000?份，保護客戶資產高達?5000?多億美元。

Tags：EOSSINPLA區塊鏈EOSWINSINGLE價格Game On Players銀行區塊鏈

DYDX