CertiK：7月加密領域相關黑客攻擊事件總結_NCE:Galaxy Survivor

事件

黑客勒索及其他攻擊傳統的勒索軟件攻擊以及通過系統漏洞遠程控制受害者系統的攻擊，是7月至今發生的黑客勒索攻擊事件中的主要攻擊方式。此類攻擊行為，攻擊者不需要了解熟悉區塊鏈的知識和技術細節就可以完成攻擊，尤其是twitter攻擊，其攻擊者是三名青少年，其中最大年齡僅有22歲，這起事件在7月以來的安全事件中較典型的一例，產生的影響范圍極廣。①7月2日，MongoDB遭受到攻擊，約22900個數據庫被清空，攻擊者要求以BTC作為贖金贖回被清空數據庫的備份。②7月11日，Cashaa交易所發生交易異常，攻擊者通過控制受害者電腦，操作受害者在Blockchain.info上的比特幣錢包，向攻擊者賬戶轉移約合9800美元的BTC。③7月15日，twitter遭受社會工程攻擊，員工管理賬號被盜，造成多個組織和個人的推特上發布欺詐信息，誘使受害者向攻擊者比特幣賬戶轉賬。④7月22日，約克大學信息被盜取，攻擊者要求約合114萬美金的BTC作為贖金。⑤7月23日，英國足球聯盟信息被盜取，攻擊者要求BTC作為贖金。⑥7月25日，西班牙鐵路基礎建設管理局約800gb信息被盜，攻擊者要求BTC作為贖金。⑦7月30日，佳能遭受到黑客攻擊，約10tb照片和其他類型數據被盜，用戶要求以數字貨幣作為贖金。⑧7月31日，數字貨幣交易所2gether遭受到黑客攻擊，約139萬美金的BTC被盜。代碼漏洞攻擊對于代碼漏洞攻擊相關事件，攻擊者則必須要理解區塊鏈51%攻擊并且能夠找到可以利用的條件來完成攻擊，并且需要對智能合約的技術有深刻的了解，找到其中的邏輯漏洞并加以利用。⑨8月4日，DeFi項目Opyn被攻擊者通過代碼漏洞，獲得數目等于存入數目兩倍的代幣，最終造成了約37萬美金的損失。攻擊類型及危險

Balancer提議\"許可套利\"以拯救Inverse Finance被凍結的加密貨幣:金色財經報道，DeFi協議骨干正在協調，以拯救在2023年最大黑客攻擊中被凍結的約30萬美元的加密貨幣。該加密貨幣的所有者Inverse Finance擔心，一旦6月8日解凍，套利者正準備攫取這些加密貨幣。

根據Balancer管理部門的一個論壇帖子，周二概述的一個計劃將看到自動做市商Balancer對其 \"bb-e-USD \"池執行 \"許可套利\"，\"在其他人能夠得到它之前\"。3月中旬，當借貸平臺Euler Finance向黑客損失2億美元時，Balancer緊急凍結了這個資金池（后來黑客歸還了資金）。

目前正在討論中，該計劃需要得到Balancer社區成員的批準，因為DeFi協議將不得不修改其機制。組織者計劃在套利完成后對回收的代幣的分配進行第二次投票。[2023/5/17 15:07:26]

攻擊事件類型及危險程序：

DeFi平臺QUINT獲Galaxy Racer 2500萬美元投資:5月30日消息，DeFi平臺QUINT獲Galaxy Racer 2500萬美元投資。據悉，Galaxy Racer專注于電子競技、內容創作者、音樂和體育等領域，也是第一家向加密貨幣生態系統投入大量資金的電子競技組織。Galaxy Racer將把QUINT整合到其網站的支付系統中，并探索如何在電子競技比賽、活動和商品銷售部門中使用Token。（雅虎財經）[2022/5/30 3:50:42]

Aave社區發起“初始資金庫策略”提案，建議部署Reserve Factor在Balancer V2上獲得BAL獎勵:9月18日消息，DAO資金庫聚合平臺Llama在Aave社區發起新提案“初始資金庫策略”，建議部署Reserve Factor (RF)通過在Balancer V2上獲得BAL獎勵以賺取額外收益。這個策略有兩個目標：使用資金庫中的aToken賺取額外收益；通過與Aave交互的協議積累治理影響。Llama提議將RF中持有的一部分aToken存入Balancer V2池中以獲得BAL獎勵。另一種策略是使用Ecosystem Reserve中的AAVE（價值8.21億美元）作為抵押品，以便借入穩定幣來為產生收益的策略提供資金。此外，Balancer V2 LP代幣有可能被集成到Aave的AMM平臺中。[2021/9/19 23:35:54]

勒索及其他攻擊——攻擊的方法和媒介如下：

Cere Network獲得3100萬美元的融資 Polygon和Republic領投:金色財經報道，區塊鏈管理系統開發商Cere Network表示，它在由投資平臺Republic和Polygon領投的一輪融資中籌集了3100萬美元，資金將用于新員工、開發者網絡增長和應用程序開發。公司還將利用這筆資金加速將其去中心化數據云集成到Polygon的協議中，預計在與Polkadot整合的第三季度末完成。（Coindesk）[2021/9/9 23:13:11]

代碼漏洞攻擊：——攻擊的方法和媒介如下：

因勒索攻擊門檻低，攻擊方式大同小異，因此可供分析程度有限，下文將為大家具體分析第9號代碼漏洞攻擊事件。代碼漏洞攻擊事件分析

⑨第9號事件此次事件發生于DeFi項目Opyn中，攻擊產生的原因是Opyn在智能合約oToken中的exercise函數出現漏洞。攻擊者在向智能合約中發送某一數量的ETH時候，智能合約僅僅檢查了該ETH的數量是否與完成該次期貨買賣需要的數量一致，并沒有動態的檢查攻擊者發送的ETH數量是否在每一次交易之后，仍舊等于完成該次期貨買賣所需要的數量。也就是說，攻擊者可以用一筆ETH進行抵押，并再贖回兩次交易，最終獲得自身發送數量兩倍的ETH。CertiK安全研究團隊認為，Opyn沒有對其更新完成后的智能合約再次進行嚴謹的安全審計驗證就直接進行部署運行，從而造成了其智能合約中的程序代碼漏洞沒有被及時發現，是此次事件發生的主要原因。總結

在此，CertiK安全團隊建議如下：做好區塊鏈項目運行的硬件以及平臺軟件的安全漏洞篩查，在日常工作中關注培養員工對于黑客攻擊常見手段的認識和防御意識。做好對區塊鏈運營中可能出現的某方占有超過全區塊鏈一半總算力的“支配”情況，對于特定區塊鏈項目中的防護，可以考慮采用提高交易確認必須次數或者優化共識算法。做好對區塊鏈項目中鏈代碼和智能合約代碼的驗證審計工作，邀請多個獨立的外部安全審計服務來審計代碼，并在每次更新代碼后進行重新審計。

Tags：CERALANCEBALCEREGalaxy SurvivorUNION FinanceShibal Inu Moon

中幣下載