创宇区块链9月安全月报

安全实验室为大家整理了9月安全攻击事件。

9月，攻击事件虽然大量减少，但所涉及金额却并未减少。据知道创宇区块链安全实验室数据显示：该月发生的安全事件超26起，其中钓鱼攻击事件增加迅猛，本月造成损失最为严重的当为加密做市商Wintermute因私钥泄露事件，损失高达1.6亿美元。本月安全事件造成的损失总金额共计约167,400,000美元。

分析发现，网络钓鱼安全事件在9月占比最多，高达44%，请大家警惕钓鱼注意保护个人资产。值得高兴的是，9月跑路局大幅度减少仅占比8%。

2、对比数据分析：

通过对比我们可以发现，本月安全攻击事件除了网络钓鱼类，其他类型数量均为减少，尤其是跑路局由上月17起减少至2起。

3、2022年月安全趋势：??

本月安全数量大幅度下降，成为下半年以来最少攻击事件月，应该与以太坊POS共识机制合并有较大的关系，后续如何发展我们将持续关注。

韩法院对Terraform Labs联创等8人进行首次公审准备，将判定LUNA是否为证券:7月11日消息，韩国首尔南部地方法院对涉嫌违反《资本市场法》的Terraform Labs联合创始人Daniel Shin和其他七名同事等8人进行了首次公审准备，也是Terra事件在韩国国内的首次审判，其中检方认为LUNA是投资证券合同，应受到资本市场法的限制，而Daniel Shin主张Terra和LUNA并非证券。消息人士表示，如果审判通过，LUNA被认定为证券，那么《资本市场法》将会扩大到虚拟资产行业，一部分加密货币被分类为未注册证券，有可能会被中止上市。[2023/7/11 10:47:08]

以下是知道创宇区块链安全实验室对9月各类型安全资讯的总结，并就其暴露出的问题进行探讨。

DeFi安全类型事件

9月2日，隐私项目ShadowFi遭遇黑客攻击，其官方TokenSDF下跌98.5%。攻击者利用SDF的漏洞允许任何人烧毁Token，获利约1078枚BNB，目前被盗资金已被转入TornadoCash。

马斯克：Threads只是去除图片的Instagram且毫无意义，律师已向扎克伯格发出停止函:金色财经报道，伊隆·马斯克在社交媒体回应一则“Threads 存在五个主要问题”的推文中称，Threads只是去除图片的Instagram，本质上这个应用毫无意义，因为使用Instagram的用户本身更喜欢用图片而非文字表达。马斯克补充称：“你有多少次阅读过Instagram的照片评论？或者希望看更多照片评论？就个人而言，从来没有。”

而在7月7日的一条推文中，马斯克还表示Threads是一种不正当的竞争，并称“竞争很好，作弊则不然。”。据悉Meta此前挖走了数十名推文公司员工，而他们是最了解产品的人，马斯克已表示将调查此事，并称如有必要，将采取适当行动。据悉马斯克律师Alex Spiro已向扎克伯格发出了一封停止函，威胁要起诉Meta公司“系统性、故意和非法盗用”推特商业秘密和知识产权，以及窃取推特数据。[2023/7/9 22:26:23]

9月4日，RugPullFinder最新推出的NFT项目「BadGuys」在免费铸造期间遭到漏洞利用攻击，两名用户利用其NFT合约漏洞铸造了450枚NFT，而不是按照最初设定的每个钱包仅能分配1枚NFT。这次漏洞是因为「mint」函数缺少所需的安全检查导致，该团队已在社交媒体上做出道歉并称将支付2.5ETH赏金来回购多铸造的NFT。

0xcd93开头地址已将40834枚RPL存入Rocket Pool质押:金色财经报道，据推特用户余烬监测，0xcd93开头地址19天前开始通过CoW Protocol花费约167万美元购买40834枚RPL，并将RPL存入Rocket Pool进行质押。

此外，疑似属于做市商Wintermute地址（0x2490开头）在Uniswap添加10万枚RPL（527万美元）的流动性，该地址共持有21.9万枚RPL。[2023/2/10 11:59:07]

9月4日，BNBChain上聚合DAO社区DAOOfficials疑似被攻击，此外链上数据显示攻击者或获利逾50万美元。

9月7日，攻击者通过AVAX闪电贷攻击获利约37万USDC。攻击者可能影响的协议包括NereusFinance、TraderJoe、CurveFinance。

币安NFT市场调整NFT系列铸造费用及关注者要求:2月10日消息，币安在公告中表示，为了及时跟进来自社区反馈的有关NFT铸造功能的建议，并防止铸造低质量NFT和滥用此功能，币安NFT已经审查并将更新NFT系列铸造费用，以及调整币安NFT平台获得NFT铸造功能所需的关注者最低要求。该更新将于2023年02月16日07:59生效。

更新后，所有在币安NFT上拥有至少10位关注者且完成标准身份认证的用户均可铸造NFT。每个NFT系列都需要支付固定的系列铸造费用，其中包括智能合约部署费和服务费。集合铸币费收取如下：以太坊（ETH）：0.50 ETH；BNB智能链（BSC）：1.00 BNB。[2023/2/10 11:59:02]

9月8日，BNBChian链上NewFreeDao项目遭到闪电贷攻击，NFD价格下跌超99%，损失4500枚BNB

Fantom将推出稳定 fUSD v2，迁移与清算时间尚未确定:1月30日消息，Andre Cronje 发文表示，Fantom 区块链计划推出其 fUSD 稳定币的 V2 版，以为构建者、合作伙伴和用户提供一个更可预测且预算更友好的系统。目前没有给出发布的时间表。在向 v2 迁移过程中，fUSD v1 将对 fUSD 债务等于或大于 FTM 或 sFTM 支持的任何头寸进行清算。Fantom 还构建了交换工具，允许用户平仓，将 DAI 交换为 fUSD 并结清其未偿债务。新版本将允许利益相关者以 fantom (FTM) 或 fUSD 分配费用，并根据使用情况预测未来成本。[2023/1/30 11:36:41]

9月18日，攻击者首先在ETH主网上通过omniBridge转移WETH，随后将相同的交易内容在ETHW链上进行了重放，获取了等额的ETHW。目前攻击者已经转移了741ETHW到交易所。Beosin安全团队建议如果项目方合约里面预设了chainID，请先手动将chainId更新，即使项目方决定不支持ETHW，但是由于无法彻底隔绝通过跨链桥之间的资产流动，建议都在ETHW链上更新。

9月20日，加密做市商Wintermute因私钥泄露被黑客攻击损失1.6亿美元。

网络钓鱼安全类型事件

9月6日，ArtsDAO项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月6日，Dictators项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月8日，元宇宙平台TheSandbox项目Instagram账号被入侵，thesandboxesgame.com是钓鱼网站。请用户不要点击钓鱼网站。

9月12日，AlphaCentauriKid官方Discord服务器收到钓鱼邮件攻击，请不要点击，铸造或批准任何交易。

9月14日，BAYC#8941疑似被盗，NFT被转入0x18e541...D0F4地址，被标记为钓鱼地址。

9月14日，ID为@FreddyAdu的经过认证的推特账号遭到黑客攻击，攻击者将其伪造为LooksRare推特并发布虚假空投网站信息，目前仍未恢复。

9月18日，AlterEgoHunters官方表示其Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日，Dystians的Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月18日，NFT项目pump?kin发推称，Discord服务器和Discord管理账户遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月20日，印度加密交易平台CoinDCXTwitter帐号疑似被入侵，并发布欺诈性链接。

9月22日，SuspiciousUnicornSociety项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。

9月28日，SOLDecoder项目Discord服务器遭攻击。请社区用户不要点击、铸造或批准任何交易。

KyberNetwork在推特上披露，该协议因前端漏洞利用导致其用户损失26.5万美元资金。该漏洞源于KyberSwap网站中的恶意GoogleTagManager代码，攻击者的目标是鲸鱼钱包，通过插入虚假批准获得了转移用户资金的权限。

9月9日，零知识证明研发机构StarkWare发推称，其扩容引擎StarkExV4.5被VladBochok和IhorBarenblat指出存在漏洞，在运营者控制的条件下，该漏洞可使用户能够从一个冻结系统的Vault中双花。不过，目前该漏洞已被修复。

9月18日，通过Profanity创建的某些以太坊地址存在严重漏洞，黑客利用Profanity漏洞获利330万美元。

9月20日，加密货币投资服务银行Revolut已经证实，它受到了一次高度针对性的网络攻击，黑客可以访问数万名客户的个人详细信息。

9月26日，0x9731F开头地址从使用Profanity工具生成的以太坊靓号地址中窃取95万美元的加密货币，攻击者已将将732枚以太坊转移至混币器。

总结

从Defi的角度来看，所涉及的安全事件中，闪电贷攻击和重入攻击仍旧最为常见，所以说合约的审计是非常有比较的。而加密做市商Wintermute安全事件提醒我们私钥的重要性，一定要保护好自己的私钥，所以在合约本身的安全之外，我们也需要关注合规性安全。知道创宇区块链安全实验室在此提醒，对合约安全有必要做到常规审计和复合审计，保障合约免受其他攻击影响，同时高度重视函数权限问题，以防止高权限函数被任意调用。

从网络钓鱼以及局跑路角度来看，跑路局在本月有所下降，但仍然不可放松警惕，需要时时刻刻对项目及项目方进行细致的考察；而网络钓鱼逐月增加，可以看出攻击者认为网络钓鱼更容易到用户从而获利，作为用户要多加小心，不可随意信任他人而点击相关内容。

山河远阔，国泰民安，祝福虽晚但心意不晚，祖国生日快乐！

标签：NFTTERETHDISNFT2Stakelobsterethw币价格DIS价格

聚币热门资讯