Web3.0世界本年度发生了共计377次黑客攻击,到目前为止因漏洞风险及局所造成的资产损失已达到了约2,338,681,983美元。
8月份出现的重大攻击事件共31起,与7月相比,退出局、闪电贷攻击、Discord和NFT事件均有所减少。
Across Protocol:ACX代币将在Balancer上建立流动性池:11月28日,据官方推特,跨链桥Across Protocol表示,已批准在Balancer上建立ACX初始流动性的提案,将在ACX代币正式流通后在Balancer上建立初始流动性池。此外,上线流动性池后,用户还将可以通过添加流动性获得额外的ACX奖励,未来还可能会申请Balancer和Aura奖励。[2022/11/28 21:07:36]
8月闪电贷攻击造成了约74.5万美元的资产损失,与7月相比下降了95%,成为了继今年2月份之后,本年度闪电贷安全方面表现最佳的月份。
8月的RugPull事件及其余退出局也比上月降低了25.9%,总计损失约为1,004万美元。Discord和NFT事件报告了86起,相比7月下降了30%。
退出局
8月共发生了33起退出局事件,尽管相比7月降低了25.9%,但损失资产仍高达1,004万美元。其中被认定为大规模恶劣局的事件有19起,相比上月增长了5%。
加密指数协议Levyathan官方:攻击造成近150万美元损失,准备要求Certik进行部分赔偿:官方消息,加密指数协议Levyathan发布更新表示,在7月30日遭到攻击,黑客铸造100,000,000,000,000,000,0亿枚LEV代币,导致LEV价格归零,损失约150万美元。Levyathan称,由于开发人员的严重疏忽,开发人员的私钥在Github上是公开的。此外,对于关于紧急取款漏洞,这是遭到的第二个原因,Levyathan确认Certik审计部分存在严重疏忽。在审计中,Certik没有注意到导致紧急取款功能的错误。
Levyathan已创建一个钱包,在紧急提款功能期间收到过多资金的用户可以将资金退回,目前已收回15万美元,正在与其他用户讨论尽快收回资金。另一方面,团队目前正在与Certik进行讨论,Levyathan称Certik对资金损失负有部分责任,打算要求他们偿还其用户。此外,Levyathan表示将推出V2以及新代币。[2021/8/3 1:31:34]
其中规模最大的退出局为DayofRights/AMO代币,与该项目有关的钱包抛售了大量代币,欺诈者获取了约200万美元的收益。
Axion Network遭黑客攻击币价归零,CertiK称可能是项目内部人员所为:Cointelegraph报道称,在11月2日,一个名为Axion Network的项目上线代币AXN几个小时后即遭到黑客攻击,790亿枚AXN被铸造并且抛售到市场,代币价格几近归零,黑客获利1300枚ETH,约合50万美元。
作为项目的审计方之一,Certik通过分析表示,黑客利用了Axion质押合约的反质押功能,通过Uniswap将AXN兑换为ETH,直到Uniswap相关代币池被耗尽,AXN价格归零。此外,Certik表示该事件很可能为内部人员所为,恶意代码的植入发生在代码部署期间,而这部分代码并非Certik审计内容。[2020/11/3 11:29:52]
在探讨退出局事件的数据时,我们不得不提到7月的RaccoonNetwork跑路事件。该事件导致了2,520万美元的损失,成为了今年规模最大的退出局,并且在近一年黑客攻击导致的损失资产金额排行榜上位列第三。
Balancer回应闪电贷攻击:计划将通缩代币添至黑名单:Balancer两个流动性矿池今晨被爆出遭到闪电贷攻击,被转移资产价值约为50万美元。Balancer官方随即对此事发布博客进行回应。此次攻击让攻击者从STA和STONK两个代币池中获取资金,遭遇攻击的两个代币均为带有转账费的代币,也称通缩代币。Balancer还还原了此次攻击的流程,黑客将通过闪电贷从dYdX借出ETH并转换为WETH,不断交易WETH和STA,在每笔交易中,STA都需要支付一笔转账费,该资金池将会在不收取费用的情况下获得余额。调用足够次数后,攻击者调用gulp(),该操作会将代币余额的内部池记帐同步到代币追踪合约中存储的实际余额。最后由于STA的余额接近于零,因此其相对于其他代币的价格非常高,此时攻击者可使用STA以极低价交换代币池中的其他资产。由于此类攻击只限于通缩代币,Balancer称下一步会将通缩代币添加到UI黑名单中。目前Balancer已经通过两次全面审核,即将开始第三次协议审核。[2020/6/29]
RaccoonNetwork事件直接导致7月的退出局数据不太具备参考性,因此我们在统计时减去了该事件造成的损失——减去2,520万美元后,7月损失约为1,353万美元。
Balancer Labs:警惕Uniswap上以0x6cb8开头的BAL代币局:非托管投资组合管理服务商Balancer Labs发推称,Uniswap上以0x6cb8开头的Balancer(BAL)代币是局,BAL还没有被创建。当官方代币被部署时,我们将通过此推特账号宣布。[2020/6/14]
如果再不考虑FreedomProtocol退出局的影响,7月和8月之间的数据差异就不大了。
除以上提到的事件外,本月发生的许多小规模案例并未统计在内,这些高发生率的活动可能与OFAC对TornadoCash的制裁有关。
闪电贷攻击
8月闪电贷攻击的表现令人看到了Web3.0世界在安全方面的良好趋势:自今年2月起,8月份闪电贷攻击导致的损失金额创下了新低——7次的攻击事件共导致了约74.5万美元的损失,与7月相比下降了95%。
其中规模最大的闪电贷攻击是XStable事件,攻击者操纵价格获利约36.7万美元。
闪电贷攻击仍是Web3.0世界安全领域的一个主要痛点,目前的良好趋势或许反映了未来的前景较为乐观。
根据目前的数据,CertiK预测2022年整年,闪电贷攻击所造成损失将达到511,601,181美元,这个数字比上次的预计下降了8万美元以上。
重大攻击事件
8月共发生31起重大攻击事件——这一数字与7月相同。平均每次攻击损失约701万美元,相比于7月的平均损失212万美元有了显著增长。与6月的漏洞相比,8月重大攻击事件的总损失金额占比也更高了。
而在8-13日的短短一周内,就发生了12起攻击事件,其中3起是本月损失金额最为庞大的事件,位于攻击规模和损失金额排行榜首位的是NomadBridge攻击:
NomadBridge攻击事件:NomadBridge遭受攻击导致了价值约1.9亿美元的损失。到目前为止,白帽黑客已追回其中3270万美元。该事件是今年第三大攻击事件,仅次于3月的RoninBridge和2月的WormholeBridge攻击事件。该事件发生的原因在于合约中“committedRoot”被错误地初始化为0,攻击者可以绕过消息验证过程,从桥合约中提取代币。
Solana攻击事件:北京时间8月3日早7时左右,Solana生态遭到了重大黑客攻击,损失约为800万美元。Solana钱包的供应商SlopeFinance被确定为该事件的攻击者。经过开发人员调查,Slopes的移动钱包应用程序创建、导入或曾经使用过此次事件被影响的超过8,000个独特钱包地址。
ZB交易所事件:ZB交易所热钱包中的一个私人密钥被泄露,导致了约480万美元的损失。ZB交易所已于8月2日通知他们的社群:由于“突发故障”,将暂停存款和提款活动。原因是“核心应用程序突然失效”。
Discord及NFT
本月Discord攻击及网络钓鱼攻击事件的数量略有减少——7月共发生123起,8月下降至86起。
CertiK调查了其中96起事件中26个与服务器上钓鱼网站相连的钱包,发现共112个NFT被盗,这个数字在近4个月内的连续下降意味着NFT社区对局的抵抗力越来越高。
相比之下,其它社交媒体如推特、网站中发生的网络钓鱼攻击影响则要大得多——在CertiK调查的7起网络钓鱼事件中,有80个NFT被盗。
8月规模最大的网络钓鱼事件是NFT项目WeAllSurvivedDeath的山寨推特获利了155个NFT,这些NFT在事件发生时的总底价价值约为11.7ETH,随后4个BAYC和一个Otherdeed被盗,底价为289.7ETH。
写在最后
8月的这些安全事件充分表明了用户及项目保持警惕的重要性。CertiK安全团队专家认为,无论一个项目认为自己有多安全,都需要时刻保持对黑客攻击的警惕,因为在项目提升安全标准的同时,黑客们也一直在寻找漏洞。
CertiK的端到端安全解决方案,从智能合约审计和KYC项目背景调查服务,到Skynet天网动态扫描系统和SkyTrace等区块链分析工具,以及漏洞赏金计划,在助力每一个项目充分发挥潜力的同时为Web3.0打造用户和投资者高参与的生态系统。
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。