2024 Blockchain安全與反*洗*錢年度報告解讀之安全態(tài)勢
上周，我們發(fā)布了慢霧出品|2024Blockchain安全與反*洗*錢年度報告，接下來我們把報告分為四篇文章來解讀，剖析報告中的關鍵內容，幫助讀者更全面深入地理解當前Blockchain生態(tài)系統(tǒng)中的關鍵安全挑戰(zhàn)和機遇。本篇主要聚焦Blockchain生態(tài)安全態(tài)勢。
在安全領域，2024年延續(xù)了以往的嚴峻態(tài)勢。黑客攻擊事件頻發(fā)，尤其是針對中心化平臺的攻擊占據(jù)著主導地位。與此同時，智能合約漏洞和社會工程學攻擊仍是黑客的主要作惡手段，而釣魚攻擊的方式更加隱蔽，手段更加復雜，用戶資產的保護仍面臨重大挑戰(zhàn)。供應鏈安全問題也在2024年引發(fā)更多關注，多個知名項目遭遇惡意代碼注入攻擊，導致大量用戶資產丟失。
根據(jù)慢霧Blockchain被黑事件檔案庫(SlowMistHacked)統(tǒng)計，2024年共發(fā)生安全事件410件，損失高達20.13億美元。對比2023年（共464件，損失約24.86億美元），損失同比下降19.02%。
注：本報告數(shù)據(jù)基于事件發(fā)生時的Tokens價格，由于幣價波動和部分未公開事件的損失未納入統(tǒng)計等因素，實際損失應高于統(tǒng)計結果。
DMMBitcoin
2024年5月31日，日本Crypto交易所DMMBitcoin表示，其官方錢包中的4,502.9BTC被*非*法轉移，造成價值約482億日元的損失。據(jù)悉，DMMBitcoin安全事件的損失金額在Crypto黑客攻擊史上排名第七，是自2022年12月以來最大的一次攻擊。同時，此前日本曾發(fā)生過兩起重大Crypto交易所黑客攻擊事件，即2014年的Mt.Gox事件和2018年的Coincheck事件，被盜金額分別為4.5億美元和5.34億美元。此次DMMBitcoin攻擊事件成為日本第三大此類案件。12月23日，據(jù)美國聯(lián)邦調查局（FBI）通報，美國聯(lián)邦調查局（FBI）、國防部網絡犯罪中心（DC3）以及日本警察廳（NPA）提醒公眾，此次盜竊與TraderTraitor威脅活動相關，TraderTraitor也被跟蹤記錄為JadeSleet、UNC4899和SlowPisces。TraderTraitor活動通常以針對同一公司多名員工的社交工程攻擊為特征。
據(jù)悉，2024年3月底，一名偽裝成LinkedIn招聘人員的朝鮮黑客聯(lián)系了Ginco公司的員工，Ginco是一家總部位于日本的企業(yè)級Crypto錢包軟件公司。黑客向目標員工發(fā)送了一個鏈接，指向一個托管在GitHub上的惡意Python腳本，聲稱這是一個入職測試。目標員工將Python代碼復制到自己的GitHub頁面上，結果遭到入侵。5月中旬后，TraderTraitor黑客利用會話Cookie信息冒充被攻擊的員工，成功訪問Ginco公司未加密的通信系統(tǒng)。5月底，黑客可能利用此訪問權限篡改了DMMBitcoin員工的合法交易請求，導致4,502.9BTC被盜。最終，盜取的資金被轉移到TraderTraitor控制的錢包中。PlayDapp
2024年2月9日，Blockchain游戲平臺PlayDapp遭攻擊，黑客入侵了PlayDapp(PLA)Tokens智能合約。黑客*非*法獲取了私鑰，從而改變了智能合約的所有權和鑄幣權限，將其轉移到自己的賬戶上。黑客移除了現(xiàn)有管理員的授權，并*非*法鑄造了2億個PLATokens。事發(fā)后不久，PlayDapp通過鏈上交易向黑客發(fā)送消息，要求歸還被盜資金并提供100萬美元白帽獎勵，但最終談判失敗。2月12日，黑客再次*非*法鑄造了15.9億PLATokens，但由于交易所已采取凍結措施，市場流通已被停止，未能流通。4月1日，據(jù)PlayDapp披露，2024年1月16日，PlayDapp團隊收到了黑客偽造的郵件，該郵件精心設計，具有與其常收到的來自主要合作交易所的常規(guī)信息請求郵件完全相同的標題、發(fā)件人郵件地址（包括用戶名和域名）以及內容。分析表明，當執(zhí)行郵件附件中的惡意代碼時，受害者的電腦安裝了一個篡改的遠程訪問多會話工具，隨后被黑客遠程控制，導致管理員私鑰被盜。WazirX
2024年7月18日，印度Crypto交易所WazirX的多簽錢包被監(jiān)測到發(fā)生多筆可疑交易。7月19日，據(jù)WazirX在X平臺發(fā)布網絡攻擊的初步調查結果，他們的一個多重簽名錢包遭遇了網絡攻擊，損失超過2.3億美元。該錢包共有六個簽署人——五名來自WazirX團隊成員和一名來自Liminal的成員，負責交易驗證。每筆交易通常需要WazirX團隊三名簽署人（這三名簽署人都使用Ledger硬件錢包以確保安全）批準后，才會由Liminal的簽署人進行最終批準。此次網絡攻擊源于Liminal界面上顯示的數(shù)據(jù)與實際交易內容之間的差異，在攻擊發(fā)生時，Liminal界面顯示的交易信息與實際簽署的內容不符。WazirX懷疑黑客通過替換載荷，將錢包控制權轉移給了自己。BtcTurk
2024年6月22日，土耳其Crypto交易所BtcTurk遭攻擊，損失約9千萬美元。BtcTurk在6月22日的聲明中表示：“此次網絡攻擊影響了我們熱錢包中10種Crypto余額的一部分，大部分存儲在冷錢包中的資產仍然安全。”據(jù)Binance首席執(zhí)行官RichardTeng透露，Binance已凍結了其中價值530萬美元的被盜資產。Munchables
2024年3月27日，Blast生態(tài)項目Munchables遭攻擊，損失約6,250萬美元。同日，Blast創(chuàng)始人Pacman發(fā)推表示：“Blast核心貢獻者已通過多重簽名獲得9,700萬美元的資金。感謝前Munchables開發(fā)者選擇最終退還所有資金，且不需要任何贖金。”RadiantCapital
2024年10月17日，RadiantCapital在X發(fā)文表示意識到BNBChain和Arbitrum上的Radiant借貸市場存在問題，Base和主網市場已暫停交易。據(jù)慢霧安全團隊分析，此次事件是Radiant黑客*非*法控制3個多簽權限后，升級了惡意合約以竊取資金。10月18日，Radiant發(fā)布事件分析報告表示，此次事件導致約5千萬美元的損失，黑客通過復雜的惡意軟件注入技術，成功入侵了至少三位核心貢獻者的設備，這些被入侵的設備隨后被用來簽署惡意交易。12月6日，Radiant發(fā)布被攻擊事件的最近進展，Radiant聘請的安全公司Mandiant將此次攻擊歸因于UNC4736，通常被稱為AppleJeus或CitrineSleet。Mandiant高度認為UNC4736與朝鮮民主主義人民共和國（DPRK）有關。BingX
2024年9月20日，據(jù)Crypto交易所BingX公告，新加坡時間9月20日凌晨4點左右，BingX的安全系統(tǒng)檢測到針對一個熱錢包的未經授權的入侵。據(jù)慢霧安全團隊統(tǒng)計，此次事件導致的損失約達4,500萬美元。根據(jù)MistTrack 的分析，Indodax黑客和BingX黑客之間疑似存在聯(lián)系，這兩起攻擊事件的黑客使用了同一個地址*洗*錢，且都指向了朝鮮黑客LazarusGroup。HedgeyFinance
2024年4月19日，HedgeyFinance遭攻擊，黑客進行了一系列惡意交易，導致其在Ethereum和Arbitrum兩條鏈上損失總計約4,470萬美元。此次事件的根本原因是缺少對用戶參數(shù)輸入的驗證操作，使得黑客能夠操縱并獲得未經授權的Tokens批準。Penpie
2024年9月4日，去中心化流動性收益項目Penpie遭攻擊，黑客獲利約2,735萬美元。據(jù)慢霧安全團隊分析，此次事件的核心在于Penpie在注冊新的Pendle市場時，錯誤地假設所有由PendleFinance創(chuàng)建的市場都是合法的。然而，PendleFinance的市場創(chuàng)建流程是開放式的，允許任何人創(chuàng)建市場，并且其中的關鍵參數(shù)如SY合約地址，可以由用戶自定義。利用這一點，黑客創(chuàng)建了一個含有惡意SY合約的市場合約，并利用Penpie池子在獲取獎勵時需要對外部SY合約調用的機制，借助閃電貸為市場和池子添加了大量的流動性，人為放大了獎勵數(shù)額，從而獲利。FixedFloat
2024年2月16日，根據(jù)鏈上數(shù)據(jù)，Crypto交易平臺FixedFloat遭攻擊，損失約409枚BTC（約2,117萬美元）和1,728枚ETH（約485萬美元）。FixedFloat針對此次攻擊事件表示：這次黑客攻擊是由于安全結構中的漏洞引起的外部攻擊，并不是由員工所實施，用戶資金并未受影響。4月2日，F(xiàn)ixedFloat在X平臺表示其再次遭受了2月16日攻擊事件的黑客的攻擊。黑客設法利用了FixedFloat使用的第三方服務中的漏洞。這兩次攻擊事件給FixedFloat造成總計約2,900萬美元損失。RugPull
RugPull是一種*騙*局，其本質是惡意項目方造勢吸引用戶投資，等到時機成熟便“拉毯子”，卷款跑路。根據(jù)慢霧Blockchain被黑事件檔案庫(SlowMistHacked)統(tǒng)計，2024年RugPull事件達58起，導致?lián)p失約1.06億美元。
（2024損失Top10的跑路事件）
隨著Meme幣熱潮的到來，許多用戶在投機和FOMO情緒驅使下，忽視了潛在風險。一些發(fā)幣方甚至無需向用戶描繪愿景或提供白皮書，僅憑一個概念或口號，便能炒作出熱度吸引用戶購買Tokens，而低廉的作惡成本導致跑路事件層出不窮。以下是惡意項目方的常見操作：
虛假宣傳和造勢：通過夸大技術實力或市場潛力，以及虛假合作或名人背書等手段，吸引用戶投資。
操控Tokens價格：項目方通常會預先持有大量Tokens，通過操控市場價格制造繁榮假象，吸引更多資金入場。
Tokens合約設置漏洞：通過在智能合約中預留后門，項目方可以隨時提取資金或銷毀流動性池。
人間蒸發(fā)：在跑路前夕，項目方往往會關閉官方網站、社交賬號或解散社群，切斷與投資者的聯(lián)系。了解惡意項目方的操作手法后，我們可以發(fā)現(xiàn)，這些*騙*局往往利用的是用戶的投機心理和對高收益的渴望。要避免成為這類*騙*局的受害者，關鍵是保持警惕，增強防范和驗證能力，以下方法可以幫助用戶盡可能避免參與到會跑路的項目：
審查項目背景：關注團隊成員的真實性和背景，查看其過往項目是否有不良記錄。
是否經過審計：查看項目是否經過專業(yè)的安全審計。
關注社區(qū)反饋：加入項目的社交媒體或論壇，觀察社區(qū)的活躍度和討論內容，警惕過多的吹捧或不合理承諾。
分散投資：不要把所有資金投入一個項目，避免因單一項目造成重大損失。
警惕高收益誘惑：天上不會掉餡餅，高收益往往伴隨高風險，對于“快速翻倍”，“零風險”等不切實際的承諾需格外謹慎。
完整報告的鏈接如下，也可直接點擊閱讀原文跳轉，歡迎閱讀并分享:)
中文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(CN).pdf
英文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(EN).pdf