慢雾：全方位回顾2022年区块链安全生态

回顾过去的一年，我们看到加密领域出现了很多新场景，新应用和新变化。玩家也在逐渐增多，但是安全问题也一直困扰着行业的发展。因此，慢雾整理了2022年行业中出现的那些重大的安全时间，并进行了相应的分析和解读。根据慢雾区块链被黑事件档案库统计，2022年安全事件共295件，损失高达37.28亿美元。相比2021年的97.95亿美元下降约62%，但这并不包括因市场动荡而损失的资产。

其中各生态DeFi、跨链桥、NFT等安全事件245起，交易所安全事件10起，公链安全事件11起，钱包安全事件5起，其他类型安全事件24起。从时间上来看，5月和10月攻击事件数量最高，达到38件。3月损失金额最高，达到约7亿美元。一、区块链生态安全概览

公链

公链是Web3领域最重要的基础设施，也是行业中竞争最激烈的赛道之一。而2022年最令人讶异的莫过于Terra事件了。5月8日，加密货币市场上出现了史上最具破坏性的一次崩盘。Terra网络的算法稳定币UST出现了2.85亿美元的巨额抛售，引发了一系列连锁反应。Terra的原生代币LUNA的价格突然毫无征兆的连续跳崖式暴跌，一天时间，Luna市值蒸发了近400亿美元，全生态项目TVL也几乎归零。此次事件或许成为了开启2022加密寒冬的死亡按钮。DeFi/跨链桥

据DeFiLlama数据显示，截止12月底，DeFi总锁仓价值约为398亿美元，同比巨降75%。Ethereum以占比整个DeFiTVL的58.5%占据主导地位，紧随其后的是TRON，TVL为43亿美元，BNBChain(BNB)为42亿美元。有趣的是，2022年5月，Ethereum的TVL在DeFi中的占比减少了35%，而TRON的TVL占比增长了47%。根据SlowMistHacked统计，2022年BNBChian上发生安全事件约90起，总损失金额约7.85亿美元，居各链平台损失金额第一位。而Ethereum上发生安全事件约50起，总损失金额约5.28亿美元，其次是Solana上发生安全事件约11起，总损失金额约1.96亿美元。据DuneAnalytics的数据，以太坊跨链桥的锁定总价值约83.9亿美元，对比上半年降低了约31%。目前TVL最高的是PolygonBridges，排名第二的是ArbitrumBridges，随后是OptimismBridges。跨链桥允许用户将加密资产从一条链转移到另一条链，主要解决多链扩展问题。然而，跨链桥智能合约中的大量资金加上缺少安全审计，引来了黑客的目光。根据SlowMistHacked统计，2022年跨链桥安全事件共15起，损失高达12.1亿美元，占比2022年总损失的32.45%。总而言之，对项目方来说，想要尽可能的消除漏洞、降低安全风险，就必须做出有效的努力——在项目上线之前，对其进行全面深入的安全审计。同时，建议各项目方通过引入多签机制来加大资产保护的力度。另一方面，各项目在进行协议间交互或移植其他协议的代码时，需充分了解移植协议的架构以及自己项目的架构设计，做好协议之间的兼容性，防止资金损失情况的发生。对用户来说，随着区块链领域的玩法愈发多样化，用户在进行投资前认真了解项目背景，查看该项目是否有开源、是否经过审计，在参与项目时需要提高警惕，注意项目风险。NFT

慢雾：仍有大部分钱包支持eth_sign，仅少部分钱包提供安全风险警告:金色财经报道，在加密货币NFT板块，越来越多的钓鱼网站滥用 eth_sign 签名功能来进行盲签欺诈，提醒或禁用这种低级的签名方法对于保护用户安全是至关重要的，不少 Web3 钱包已经采取相关措施来对这种危险的签名方法进行安全提示和限制。仍有一大部分加密钱包支持 eth_sign，其中少部分钱包提供 eth_sign 安全风险警告。如果用户仍想要使用 eth_sign，他们可以选择支持该功能的加密钱包。但是，用户在使用这些钱包时需要特别注意安全警告，以确保其交易的安全性。[2023/5/11 14:57:14]

NFT在2022年表现极为抢眼，据NFTScan数据显示，在以太坊上的NFT全年交易次数达1.98亿次，明显高于2020年和2021年。而在BNBChain上的NFT全年交易次数达3.45亿次，在Polygon上的NFT全年交易次数达7.93亿次。另一方面，根据SlowMistHacked不完全统计，2022年NFT赛道安全事件约56起，损失超6543万美元，其中大部分是由钓鱼攻击导致，占比约为40%，其次是RugPull，占比约为21%。钱包/交易平台

2月8日，美国司法部发布公告称，已经查获了价值36亿美元的比特币，这些比特币与2016年加密货币交易所Bitfinex的黑客事件有关。34岁的IlyaLichtenstein和其31岁的妻子HeatherMorgan在纽约被捕，两人被指控共谋和罪。这也是美国司法部有史以来最大规模的金融扣押。11月6日，币安创始人CZ发推称决定清算账面上所有剩余的FTT，由此引发两大交易所之间的对峙。尽管AlamedaCEO和FTXCEOSBF接连发推试图稳固用户信心并辟谣此前曝光的消息，但还是引发FTX在流动性枯竭后迅速破产。最终，FTX暴雷，SBF被捕。中心化交易所的不透明再度引发人们的信任危机，缺乏审慎监管的问题越发凸显。无论是对消费者更严格的保护，还是对机构更明确的规则，监管的脚步都将愈发清晰。在FTX暴雷后，硬件钱包的销量大幅增长，用户量最多的钱包MetaMask月活用户达3000万。根据Finbold数据显示，基于排名前21个加密货币存储APP应用，在2022年1月至2022年10月期间，Android和iOS设备上的加密钱包下载量已经达到约1.0206亿次。虽然这个数字低于2021年牛市期间的1.7785亿次下载量，但比除2021年之外的任何一年都高。按月细分数据显示，加密钱包下载量年初呈下降趋势，但在Terra/Luna崩溃以及FTX暴雷后均出现较大幅度增长。其他

慢雾：Rubic协议错将USDC添至Router白名单，导致已授权合约用户USDC遭窃取:12月25日消息，据慢雾安全团队情报，Rubic跨链聚合器项目遭到攻击，导致用户账户中的USDC被窃取。慢雾安全团队分享如下：1. Rubic是一个DEX跨链聚合器，用户可以通过RubicProxy合约中的routerCallNative函数进行Native Token兑换。在进行兑换前，会先检查用户传入的所需调用的目标 Router是否在协议的白名单中。

2. 经过白名单检查后才会对用户传入的目标Router进行调用，调用数据也由用户外部传入。

3. 不幸的是USDC也被添加到Rubic协议的Router白名单中，因此任意用户都可以通过RubicProxy合约任意调用USDC。

4. 恶意用户利用此问题通过routerCallNative函数调用USDC合约将已授权给RubicProxy合约的用户的USDC通过transferFrom接口转移至恶意用户账户中。

此次攻击的根本原因在于Rubic协议错误的将USDC添加进Router白名单中，导致已授权给RubicProxy合约的用户的USDC被窃取。[2022/12/26 22:07:00]

区块链技术不可逆、匿名性特征在有效保护隐私的同时，也为网络犯罪提供了“保护伞”。随着元宇宙、NFT等概念受到热捧，加密货币盗窃事件、欺诈事件时有发生，很多不法分子打着区块链旗号发行所谓的虚拟资产，实施，黑灰产的先进与专业度已经远超想象。据中国人民银行支付结算司数据，2021年涉诈款项的支付方式中，利用加密货币进行支付仅次于银行转账，排名第二位，高达7.5亿美元；而2020年、2019年仅为1.3、0.3亿美元，逐年大幅增长的趋势明显。值得关注的是，加密货币转账在“杀猪盘”中增长迅速。2021年“杀猪盘”资金中1.39亿美元使用加密货币支付，是2020年的5倍、2019年的25倍。根据美国联邦贸易委员会(FTC)发布的一份报告，在自2021年年初以来的一年多时间里，已有超过4.6万人报告自己遭遇了加密货币局，损失总额超过10亿美元。根据报告，最常见的加密货币局类型是投资相关欺诈，在总金额10亿美元中占5.75亿美元，最常向者支付的加密货币包括BTC、USDT和ETH。二、攻击手法

慢雾：有用户遭钓鱼攻击，在OpenSea上架的NFT以极低匹配价格售出:据慢雾消息，有用户在 OpenSea 挂单售卖的 NFT 被恶意的以远低于挂单价匹配买。经慢雾安全团队分析，此是由于该受害用户遭受钓鱼攻击，错误的对攻击者精心构造的恶意订单进行签名，恶意订单中指定了极低的出售价格、买方地址为攻击者以及出售 NFT 为受害用户在 OpenSea 上架的待出售 NFT。攻击者使用受害用户已签名的出售订单以及攻击者自己的购买订单在 OpenSea 中进行匹配，并以攻击者指定的极低价格成交，导致受害用户的 NFT 以非预期的价格售出。[2021/12/11 7:31:47]

295起安全事件中，攻击手法主要分为三类：由项目自身设计缺陷和各种合约漏洞引起的攻击；包含RugPull、钓鱼、Scam类型的手法；由私钥泄露引起的资产损失。2022年最常见的攻击手法是由项目自身设计缺陷和各种合约漏洞引起，约92起，造成损失10.6亿美元，占总数量的40.5%。其中较为主要的是利用闪电贷引起的攻击，约19起，造成损失6133万美元，其他包括重入问题、价格操纵、验证问题等等。因私钥被盗引起的资产损失发生率约为6%，损失金额却达到7.46亿美元，仅次于合约漏洞利用，因私钥被盗的事件中，损失最大的来自Ronin事件，其次是Harmony，都是来自跨链桥。在Web3世界，用户的安全意识往往是参差不齐，这也导致了针对用户的钓鱼攻击花样多多且频繁发生。例如，攻击者利用恶意手段将各项目的官方媒体平台占为己有或者伪造官方媒体号并发布钓鱼Mint、AirDrop链接，还时不时转发真正的官方号内容来混肴视听。例如，利用搜索引擎上的广告宣传虚假网站或者与官方域名高度相似的域名及内容来以假乱真；例如通过伪造的邮件、吸引人的赠品活动来引你入局；又例如利用新用户信息差提供假APP下载链接。无论如何，提高安全意识才是最必要的，同时，一旦发现自己中招，第一时间转移资产，及时止损并保留证据，必要时寻求业内安全机构的帮助。其次，最令人憎恶的则是RugPull。RugPull通常指项目的开发者放弃项目，带着资金逃跑，更多是项目方主动作恶。它可以以多种方式发生：比如当开发者启动初始流动性，推高价格，然后撤回流动性项目方先创建一个加密项目，通过各种营销手段吸引加密用户投资，并在合适的时机毫无征兆地卷走用户投资的资金，抛售加密资产，最终销声匿迹，投资该项目的用户也将蒙受巨大损失。再比如推出一个网站，但在吸引了数十万存款后关闭。2022年RugPull事件达到50起，损失约1.88亿美元，常发生于BSC生态及NFT领域。2022年其他较为新型的手法为前端恶意攻击、DNS攻击以及BGP劫持；最为奇葩的则是人为配置操作失误导致的资产损失。三、钓鱼/局手法

动态 | 慢雾：Cryptopia被盗资金发生转移:据慢雾科技反(AML)系统监测显示，Cryptopia攻击者分两次转移共20,843枚ETH，价值超380万美元。目前资金仍停留在 0x90d78A49 和 0x6D693560 开头的两个新地址，未向交易所转移。据悉，今年早些时候加密货币交易所Cryptopia遭受了黑客攻击，价值超过1600万美元的以太坊和ERC-20代币被盗。[2019/11/17]

此节只选取部分SlowMist曾披露过的钓鱼/局手法。浏览器恶意书签盗取DiscordToken

现在的浏览器都有自带的书签管理器，在提供便利的同时却也容易被攻击者利用。通过精心构造恶意的钓鱼页面可以让你收藏的书签中插入一段JavaScript代码，有了这个几乎可以做任何事情，包括通过Discord封装好的webpackChunkdiscord_app前端包进行信息获取。当Discord用户点击时，恶意JavaScript代码就会在用户所在的Discord域内执行，盗取DiscordToken，攻击者获得项目方的DiscordToken后就可以直接自动化接管项目方的Discord账户相关权限。攻击者拿到了Token等同于登录了Discord账号，可以做登录Discord的任何同等操作，比如建立一个Discordwebhook机器人，在频道里发布公告等虚假消息进行钓鱼。下面是演示受害者点击了钓鱼的书签：

下面是演示攻击者编写的JavaScript代码获取Token等个人信息后，通过DiscordServer的webhook接收到。

声音 | 慢雾：EOS假充值红色预警后续:慢雾安全团队今早发布了 EOS 假充值红色预警后，联合 EOSPark 的大数据分析系统持续跟踪和分析发现：从昨日开始，存在十几个帐号利用这类攻击技巧对数字货币交易所、钱包等平台进行持续性攻击，并有被真实攻击情况。慢雾安全团队在此建议各大交易所、钱包、DApp 做好相关防御措施，严格校验发送给自己的转账交易在不可逆的状态下确认交易的执行状态是否为 executed。除此之外，确保以下几点防止其他类型的“假充值”攻击： 1. 判断 action 是否为 transfer 2. 判断合约账号是否为 eosio.token 或其它 token 的官方合约 3. 判断代币名称及精度 4. 判断金额 5. 判断 to 是否是自己平台的充币账号。[2019/3/12]

可以看到，在用户登录Web端Discord的前提下，假设受害者在钓鱼页面的指引下添加了恶意书签，在DiscordWeb端登录时，点击了该书签，触发恶意代码，受害者的Token等个人信息便会通过攻击者设置好的Discordwebhook发送到攻击者的频道上。“零元购”NFT钓鱼

例如下图钓鱼网站，签名内容为Maker：用户地址Taker：0xde6135b63decc47d5a5d47834a7dd241fe61945aExchange：0x7f268357A8c2552623316e2562D90e642bB538E5

这是一种较为常见的NFT钓鱼方式，即子能够以0ETH购买你所有授权的NFT。也就是说，这是用户签名NFT的销售订单，NFT是由用户持有的，一旦用户签名了此订单，子就可以直接通过OpenSea购买用户的NFT，但是购买的价格由子决定，也就是说子不花费任何资金就能“买”走用户的NFT。此外，签名本身是为攻击者存储的，不能通过Revoke.Cash或Etherscan等网站取消授权来废弃签名的有效性，但可以取消你之前的挂单授权，这样也能从根源上避免这种钓鱼风险。RedlineStealer木马盗币

这种攻击主要是通过Discord邀请用户参与新的游戏项目内测，打着“给予优惠”等幌子，或是通过群内私聊等方式发一个程序让你下载，一般是发送压缩包，解压出来是一个大概800M左右的exe文件，一旦你在电脑上运行，它会扫描你电脑上的文件，然后过滤包含Wallet等关键词的文件上传到攻击者服务器，达到盗取加密货币的目的。RedLineStealer是一种恶意木马软件，2020年3月被发现，在地下论坛上单独出售。该恶意软件从浏览器中收集保存的凭据、自动完成数据和信用卡等信息。在目标机器上运行时，会搜集如用户名、位置数据、硬件配置和已安装的安全软件等详细信息。新版本的RedLine增加了窃取加密货币的能力，能够自动扫描本地计算机已安装的数字货币钱包信息，并上传到远端控制机。该恶意软件具有上传和下载文件、执行命令以及定期发回有关受感染计算机的信息的能力。常常针对加密货币钱包目录、钱包文件进行扫描：

空白支票eth_sign钓鱼

连接钱包后并点击Claim后，弹出一个签名申请框，同时MetaMask显示了一个红色提醒警告，而光从这个弹窗上无法辨别要求签名的到底是什么内容。其实这是一种非常危险的签名类型，基本上就是以太坊的“空白支票”。通过这个钓鱼，子可以使用您的私钥签署任何交易。这种eth_sign方法可以对任意哈希进行签名，那么自然可以对我们签名后的bytes32数据进行签名。因此攻击者只需要在我们连接DApp后获取我们的地址对我们账户进行分析查询，即可构造出任意数据让我们通过eth_sign进行签名。

除此之外，还有一种钓鱼：在你拒绝上述的sign后，它会在你的MetaMask自动显示另一个签名框，趁你没注意就到你的签名。而看看签名内容，使用了SetApprovalForAll方法，同时Approvedasset的目标显示为AllofyourNFT，也就是说，一旦你签名，子就可以毫无节制地盗走你的所有NFT。

这种钓鱼方式对用户会有很强的迷惑性，以往我们碰到的授权类钓鱼在MetaMask会给我直观的展示出攻击者所要我们签名的数据。而当攻击者使用eth_sign方法让用户签名时，MetaMask展示的只是一串bytes32的哈希。尾号相同+TransferFrom零转账局

用户的地址转账记录中不断出现陌生地址转账0USDT，而这笔交易均是通过调用TransferFrom函数完成的。究其原因主要是代币合约的TransferFrom函数未强制要求授权转账数额必须大于0，因此可以从任意用户账户向未授权的账户发起转账0的交易而不会失败。恶意攻击者利用此条件不断地对链上活跃用户发起TransferFrom操作，以触发转账事件。

除了0USDT转账骚扰，还伴随着攻击者针对交易规模较大频率较高的用户不断空投小额数量的Token，攻击者地址尾数和用户地址尾数几乎一样，通常为后几位，用户去复制历史转账记录中的地址时一不小心就复制错，导致资产损失。

以上只是举例了一些常见的攻击手法和场景，实际上道高一尺魔高一丈，黑客的攻击手法永远都在推陈出新，我们能做的就是不断提高自己的见识。对于个人用户来说，遵守以下安全法则及原则，可以避免大部分风险：两大安全法则：零信任。简单来说就是保持怀疑，而且是始终保持怀疑。持续验证。你要相信，你就必须有能力去验证你怀疑的点，并把这种能力养成习惯。安全原则：网络上的知识，凡事都参考至少两个来源的信息，彼此佐证，始终保持怀疑。做好隔离，也就是鸡蛋不要放在一个篮子里。对于存有重要资产的钱包，不做轻易更新，够用就好。所见即所签。即你看到的内容就是你预期要签名的内容，当你签名发出去后，结果就应该是你预期的，绝不是事后拍断大腿的。重视系统安全更新，有安全更新就立即行动。不乱下程序。

标签：NFTORDETHDIS2PACNFTCordiumBETHER价格MDIS

ADA热门资讯