回顾过去的一年，我们看到加密领域出现了很多新场景，新应用和新变化。玩家也在逐渐增多，但是安全问题也一直困扰着行业的发展。因此，慢雾整理了2022年行业中出现的那些重大的安全时间，并进行了相应的分析和解读。根据慢雾区块链被黑事件档案库统计，2022年安全事件共295件，损失高达37.28亿美元。相比2021年的97.95亿美元下降约62%，但这并不包括因市场动荡而损失的资产。
其中各生态DeFi、跨链桥、NFT等安全事件245起，交易所安全事件10起，公链安全事件11起，钱包安全事件5起，其他类型安全事件24起。从时间上来看，5月和10月攻击事件数量最高，达到38件。3月损失金额最高，达到约7亿美元。一、区块链生态安全概览
公链
公链是Web3领域最重要的基础设施，也是行业中竞争最激烈的赛道之一。而2022年最令人讶异的莫过于Terra事件了。5月8日，加密货币市场上出现了史上最具破坏性的一次崩盘。Terra网络的算法稳定币UST出现了2.85亿美元的巨额抛售，引发了一系列连锁反应。Terra的原生代币LUNA的价格突然毫无征兆的连续跳崖式暴跌，一天时间，Luna市值蒸发了近400亿美元，全生态项目TVL也几乎归零。此次事件或许成为了开启2022加密寒冬的死亡按钮。DeFi/跨链桥
据DeFiLlama数据显示，截止12月底，DeFi总锁仓价值约为398亿美元，同比巨降75%。Ethereum以占比整个DeFiTVL的58.5%占据主导地位，紧随其后的是TRON，TVL为43亿美元，BNBChain(BNB)为42亿美元。有趣的是，2022年5月，Ethereum的TVL在DeFi中的占比减少了35%，而TRON的TVL占比增长了47%。根据SlowMistHacked统计，2022年BNBChian上发生安全事件约90起，总损失金额约7.85亿美元，居各链平台损失金额第一位。而Ethereum上发生安全事件约50起，总损失金额约5.28亿美元，其次是Solana上发生安全事件约11起，总损失金额约1.96亿美元。据DuneAnalytics的数据，以太坊跨链桥的锁定总价值约83.9亿美元，对比上半年降低了约31%。目前TVL最高的是PolygonBridges，排名第二的是ArbitrumBridges，随后是OptimismBridges。跨链桥允许用户将加密资产从一条链转移到另一条链，主要解决多链扩展问题。然而，跨链桥智能合约中的大量资金加上缺少安全审计，引来了黑客的目光。根据SlowMistHacked统计，2022年跨链桥安全事件共15起，损失高达12.1亿美元，占比2022年总损失的32.45%。总而言之，对项目方来说，想要尽可能的消除漏洞、降低安全风险，就必须做出有效的努力——在项目上线之前，对其进行全面深入的安全审计。同时，建议各项目方通过引入多签机制来加大资产保护的力度。另一方面，各项目在进行协议间交互或移植其他协议的代码时，需充分了解移植协议的架构以及自己项目的架构设计，做好协议之间的兼容性，防止资金损失情况的发生。对用户来说，随着区块链领域的玩法愈发多样化，用户在进行投资前认真了解项目背景，查看该项目是否有开源、是否经过审计，在参与项目时需要提高警惕，注意项目风险。NFT
慢雾：Poly Network再次遭遇黑客攻击，黑客已获利价值超439万美元的主流资产:金色财经报道，据慢雾区情报，Poly Network再次遭遇黑客攻击。分析发现，主要黑客获利地址为0xe0af…a599。根据MistTrack团队追踪溯源分析，ETH链第一笔手续费为Tornado Cash: 1 ETH，BSC链手续费来源为Kucoin和ChangeNOW，Polygon链手续费来源为FixedFloat。黑客的使用平台痕迹有Kucoin、FixedFloat、ChangeNOW、Tornado Cash、Uniswap、PancakeSwap、OpenOcean、Wing等。
截止目前，部分被盗Token （sUSD、RFuel、COOK等）被黑客通过Uniswap和PancakeSwap兑换成价值122万美元的主流资产，剩余被盗资金被分散到多条链60多个地址中，暂未进一步转移，全部黑客地址已被录入慢雾AML恶意地址库。[2023/7/2 22:13:22]
NFT在2022年表现极为抢眼，据NFTScan数据显示，在以太坊上的NFT全年交易次数达1.98亿次，明显高于2020年和2021年。而在BNBChain上的NFT全年交易次数达3.45亿次，在Polygon上的NFT全年交易次数达7.93亿次。另一方面，根据SlowMistHacked不完全统计，2022年NFT赛道安全事件约56起，损失超6543万美元，其中大部分是由钓鱼攻击导致，占比约为40%，其次是RugPull，占比约为21%。钱包/交易平台
2月8日，美国司法部发布公告称，已经查获了价值36亿美元的比特币，这些比特币与2016年加密货币交易所Bitfinex的黑客事件有关。34岁的IlyaLichtenstein和其31岁的妻子HeatherMorgan在纽约被捕，两人被指控共谋和罪。这也是美国司法部有史以来最大规模的金融扣押。11月6日，币安创始人CZ发推称决定清算账面上所有剩余的FTT，由此引发两大交易所之间的对峙。尽管AlamedaCEO和FTXCEOSBF接连发推试图稳固用户信心并辟谣此前曝光的消息，但还是引发FTX在流动性枯竭后迅速破产。最终，FTX暴雷，SBF被捕。中心化交易所的不透明再度引发人们的信任危机，缺乏审慎监管的问题越发凸显。无论是对消费者更严格的保护，还是对机构更明确的规则，监管的脚步都将愈发清晰。在FTX暴雷后，硬件钱包的销量大幅增长，用户量最多的钱包MetaMask月活用户达3000万。根据Finbold数据显示，基于排名前21个加密货币存储APP应用，在2022年1月至2022年10月期间，Android和iOS设备上的加密钱包下载量已经达到约1.0206亿次。虽然这个数字低于2021年牛市期间的1.7785亿次下载量，但比除2021年之外的任何一年都高。按月细分数据显示，加密钱包下载量年初呈下降趋势，但在Terra/Luna崩溃以及FTX暴雷后均出现较大幅度增长。其他
慢雾：ERC721R示例合约存在缺陷，本质上是由于owner权限过大问题:4月12日消息，据/img/20230508174049205562/2.jpg "/>
声音 | 慢雾：ETDP钱包连续转移近2000 ETH到Bitstamp交易所，项目方疑似跑路:据慢雾科技反(AML)系统监测显示，自北京时间 12 月 16 日凌晨 2 点开始，ETDP 项目方钱包(地址 0xE1d9C35F…19Dc1C3)连续转移近 2000 ETH 到 Bitstamp 交易所，另有 3800 ETH 分散在 3 个新地址中，未发生进一步动作。慢雾安全团队在此提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。[2019/12/16]
下面是演示攻击者编写的JavaScript代码获取Token等个人信息后，通过DiscordServer的webhook接收到。
可以看到，在用户登录Web端Discord的前提下，假设受害者在钓鱼页面的指引下添加了恶意书签，在DiscordWeb端登录时，点击了该书签，触发恶意代码，受害者的Token等个人信息便会通过攻击者设置好的Discordwebhook发送到攻击者的频道上。“零元购”NFT钓鱼
例如下图钓鱼网站，签名内容为Maker：用户地址Taker：0xde6135b63decc47d5a5d47834a7dd241fe61945aExchange：0x7f268357A8c2552623316e2562D90e642bB538E5
这是一种较为常见的NFT钓鱼方式，即子能够以0ETH购买你所有授权的NFT。也就是说，这是用户签名NFT的销售订单，NFT是由用户持有的，一旦用户签名了此订单，子就可以直接通过OpenSea购买用户的NFT，但是购买的价格由子决定，也就是说子不花费任何资金就能“买”走用户的NFT。此外，签名本身是为攻击者存储的，不能通过Revoke.Cash或Etherscan等网站取消授权来废弃签名的有效性，但可以取消你之前的挂单授权，这样也能从根源上避免这种钓鱼风险。RedlineStealer木马盗币
这种攻击主要是通过Discord邀请用户参与新的游戏项目内测，打着“给予优惠”等幌子，或是通过群内私聊等方式发一个程序让你下载，一般是发送压缩包，解压出来是一个大概800M左右的exe文件，一旦你在电脑上运行，它会扫描你电脑上的文件，然后过滤包含Wallet等关键词的文件上传到攻击者服务器，达到盗取加密货币的目的。RedLineStealer是一种恶意木马软件，2020年3月被发现，在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时，会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。新版本的RedLine增加了窃取加密货币的能力，能够自动扫描本地计算机已安装的数字货币钱包信息，并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。常常针对加密货币钱包目录、钱包文件进行扫描：
空白支票eth_sign钓鱼
连接钱包后并点击Claim后，弹出一个签名申请框，同时MetaMask显示了一个红色提醒警告，而光从这个弹窗上无法辨别要求签名的到底是什么内容。其实这是一种非常危险的签名类型，基本上就是以太坊的“空白支票”。通过这个钓鱼，子可以使用您的私钥签署任何交易。这种eth_sign方法可以对任意哈希进行签名，那么自然可以对我们签名后的bytes32数据进行签名。因此攻击者只需要在我们连接DApp后获取我们的地址对我们账户进行分析查询，即可构造出任意数据让我们通过eth_sign进行签名。
除此之外，还有一种钓鱼：在你拒绝上述的sign后，它会在你的MetaMask自动显示另一个签名框，趁你没注意就到你的签名。而看看签名内容，使用了SetApprovalForAll方法，同时Approvedasset的目标显示为AllofyourNFT，也就是说，一旦你签名，子就可以毫无节制地盗走你的所有NFT。
这种钓鱼方式对用户会有很强的迷惑性，以往我们碰到的授权类钓鱼在MetaMask会给我直观的展示出攻击者所要我们签名的数据。而当攻击者使用eth_sign方法让用户签名时，MetaMask展示的只是一串bytes32的哈希。尾号相同+TransferFrom零转账局
用户的地址转账记录中不断出现陌生地址转账0USDT，而这笔交易均是通过调用TransferFrom函数完成的。究其原因主要是代币合约的TransferFrom函数未强制要求授权转账数额必须大于0，因此可以从任意用户账户向未授权的账户发起转账0的交易而不会失败。恶意攻击者利用此条件不断地对链上活跃用户发起TransferFrom操作，以触发转账事件。
除了0USDT转账骚扰，还伴随着攻击者针对交易规模较大频率较高的用户不断空投小额数量的Token，攻击者地址尾数和用户地址尾数几乎一样，通常为后几位，用户去复制历史转账记录中的地址时一不小心就复制错，导致资产损失。
以上只是举例了一些常见的攻击手法和场景，实际上道高一尺魔高一丈，黑客的攻击手法永远都在推陈出新，我们能做的就是不断提高自己的见识。对于个人用户来说，遵守以下安全法则及原则，可以避免大部分风险：两大安全法则：零信任。简单来说就是保持怀疑，而且是始终保持怀疑。持续验证。你要相信，你就必须有能力去验证你怀疑的点，并把这种能力养成习惯。安全原则：网络上的知识，凡事都参考至少两个来源的信息，彼此佐证，始终保持怀疑。做好隔离，也就是鸡蛋不要放在一个篮子里。对于存有重要资产的钱包，不做轻易更新，够用就好。所见即所签。即你看到的内容就是你预期要签名的内容，当你签名发出去后，结果就应该是你预期的，绝不是事后拍断大腿的。重视系统安全更新，有安全更新就立即行动。不乱下程序。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。