報告解讀之 2022 上半年區塊鏈安全態勢_NFT:為什么要有區塊鏈

本篇主要聚焦區塊鏈生態安全概覽及攻擊手法。

區塊鏈安全態勢

近兩年來，在疫情持續肆虐、經濟衰退、能源短缺、地緣沖突升級、國際間競爭加劇等種種因素的影響之下，全球社會與經濟發展遭遇了前所未有的挑戰。與此同時，全球區塊鏈行業也經歷著一場不斷加速的變革：區塊鏈技術的效率、安全性和可擴展性得到不斷改善，元宇宙、NFT等新興領域的興起，使區塊鏈行業正式邁入3.0時代。

根據慢霧區塊鏈被黑事件檔案庫統計，截至6月30日，2022上半年安全事件共187件，損失高達19.76億美元。

在這些安全事件中，約77%源于項目自身存在漏洞被攻擊者利用，損失金額約18.4億美元，占安全事件總損失的93%；約21%源于包含Phishing&RugPull的Scams，損失金額約1.3億美元，占安全事件總損失的6%。

區塊鏈生態安全概覽

根據被攻擊對象的不同，我們將187起安全事故分為三部分：公鏈賽道、交易平臺和其他。

公鏈賽道

報告：預計“區塊鏈即服務”到2030年底市值可達265億美元:3月29日消息，根據Market Research Future（MRFR）的一份綜合研究報告，Blockchain as a Service Market（區塊鏈即服務市場）預計在2022年至2030期間將以大約34.10%的健康CAGR蓬勃發展，到2030年底實現約265億美元的市值。（Globe Newswire）[2023/3/29 13:33:20]

作為區塊鏈行業的基礎設施，公鏈承載了人們對于區塊鏈作為Web3底層網絡的期望。隨著一代又一代公鏈的崛起，NFT、DeFi、GameFi、元宇宙等生態熱潮也相繼迎來爆發，同時這些項目也促進了公鏈的發展與價值提升，使多鏈世界從理想走向了現實。據FootprintAnalytics的數據，截至6月累計已收錄的公鏈數量有119條，對比2021年6月收錄的31條，同比增長約284%。

但公鏈的快速發展同時是一把雙刃劍，在促進產業進步的同時，引發的區塊鏈安全問題也顯著增加，我們分別從?DeFi、NFT、跨鏈橋三方面解析。

DeFi生態

DeFi作為世界上最受歡迎的可編程區塊鏈，2022發展態勢不可小覷，據DeFiLlama數據顯示，6月30日DeFi總鎖倉價值為1432億美元，其中ETH鏈以945.5億美元的TVL占據了資金沉淀的半壁江山，其次是BSC鏈的110.8億美元。2021年以來，許多新興公鏈如Solana、Avalanche等通過擁抱DeFi快速發展鏈上生態，也吸引了大量用戶和資金沉淀。6月30日SolanaTVL為26.4億美元，同比增長77%；AvalancheTVL為55.4億美元，同比增長96%。

Filecoin發布2022年Q3季度狀態報告，協議收入在2022年第三季度增長9%:10月21日消息，Filecoin 發布2022年三季度狀態報告，Filecoin 網絡上的活躍存儲在2022年第三季度保持了增長，與上一季度相比環比增長82%。存儲容量在2022年第三季度保持新高，而存儲利用率在過去一年增速比存儲容量增速快6倍。協議收入在2022年第三季度增長9%（以FIL計價），而以美元計價則下降43%。由于獎勵的降低，存儲提供者的總收入在22年第三季度降低4%（以FIL計價），而以美元計價則降低了50%。在2022年第三季度，Filecoin上搭建的總項目數量增加了12%，標志著生態的健康發展。[2022/10/21 16:34:40]

隨著DeFi熱潮的興起，該領域也自然成為了黑客覬覦的重點對象。根據SlowMistHacked統計，截至6月30日DeFi安全事件約100起，損失超16.3億美元。其中在BSC、ETH、Fantom、Solana、Polygon、Avalanche、跨鏈橋上發生的安全事件數量分別為47起、29起、8起、5起、2起、1起、7起，所造成損失分別為1.4億美元、3.08億美元、5491萬美元、6383萬美元、1310萬美元、830萬美元、10.43億美元。

報告：10月僅比特幣市值份額增加 山寨幣周期正在放緩:加密貨幣數據分析公司CoinGecko 10月份的報告顯示，在市值最高的加密貨幣中，只有比特幣的份額有所上升。在過去的一個月里，比特幣市值增長了4.5%，累計超過20億美元，價格在這個月里上漲了12%以上。從這個角度來看，沒有其他主流加密貨幣獲得市場份額。事實上，大多數山寨幣市場份額都下跌了。CoinGecko在報告中指出，這可能是一個信號，表明山寨幣周期正在放緩，因為投資者在其投資組合配置中大量回歸比特幣。[2020/11/9 12:02:55]

NFT生態

基于區塊鏈技術的NFT也是需要重點關注的對象，隨著一批頭部NFT項目的崛起和各路名人的參與，NFT極速發展。根據DuneAnalytics的數據，OpenSea的交易量在1月份達到上半年最高峰2.84億美元，而隨著加密貨幣市場的變化，OpenSea在6月份的交易量只有1558萬美元，下滑94%。在NFT的熱潮中，目前以太坊生態的NFT在市值和交易量依舊占據市場的主流，交易量超90%。除了以太坊外，從近30天交易量和近7天交易量這些短期數據來看，Solana，Flow等生態的NFT也正在快速發展，且表現亮眼，多鏈時代距離我們越來越近。

蓬勃發展的同時意味著賽道發生的安全事故也不在少數，根據SlowMistHacked不完全統計，截至6月30日NFT賽道安全事件約48起，損失超6281萬美元。其中33.4%源于項目自身存在的漏洞被攻擊者利用，20.8%源于RugPull，而釣魚攻擊占了大部分，占比為45.8%，多數都是由于Discord/Twitter等媒體平臺被黑后黑客發布釣魚鏈接。

報告：灰度ETP產品本月整體表現不佳，GDLC下跌近20%:CryptoCompare報告稱，Grayscale（灰度）的交易所交易產品本月總體表現不佳。灰度數字大市值基金（GDLC）在過去的30天里下跌了19.9%。與此同時，Grayscale的比特幣信托（Bitcoin Trust）和以太坊信托（Ethereum Trust）在30天的時間里分別實現了3.0%和3.4%的增長，前者表現不及現貨市場，后者表現則優于現貨市場。盡管如此，Grayscale還是擁有最高的市值和最高的加密ETP日交易量。（Decrypt）[2020/10/20]

并且隨著時間推移，不法分子的攻擊逐漸猖獗，根據TRMLabs發布的報告，在5、6兩個月，由TRMLabs社區主導的詐騙報告平臺Chainabuse收到了超過100份關于Discord黑客攻擊的報告；自5月以來，NFT社區損失約2200萬美元；6月，黑客在被黑的Discord中發布NFT相關的釣魚攻擊同比增加了55%。

跨鏈橋

隨著區塊鏈的發展，目前已經進入一個以太坊為核心多鏈并存的局面，鏈與鏈之間的資產轉移、智能合約的跨鏈交互已成為鏈上活動的日常，跨鏈橋作為區塊鏈基礎設施的地位越發凸顯。根據DuneAnalytics數據，截至6月30日以太坊中15個主要跨鏈橋的鎖定總價值約83.9億美元。目前TVL最高的是PolygonBridges，排名第二的是ArbitrumBridge，隨后是AvalancheBridge。

Gate.io研究院發布2019年加密貨幣收益調查和投資策略分析報告:Gate.io研究院發布2019年加密貨幣收益調查和投資策略分析報告，通過對市值排名前200的數字貨幣進行調查研究，報告要點如下：1.2019年整年的加密貨幣平均收益與傳統金融市場相當，但風險是傳統金融市場5倍以上；2.在分析的200個項目中，垂直應用類別的項目價格波動幅度較大，風險略高于底層設施與通用技術項目；3.通過模擬投資策略發現，定投策略可以減少用戶的倉位管理時間，讓用戶的收益與大盤平行波動，而均倉策略可以有效降低風險，但收益減半，倉位管理時間較長；4.在2019年的傳統金融市場中，黃金、美股、石油在均倉策略表現不佳，并且均倉策略不太適合波動較低的黃金；5.通過對傳統金融市場和數字貨幣的投資策略模擬進行對比，發現無論何種策略下，比特幣的風險和收益均高于傳統金融投資品。總的來說，數字貨幣可能更適合積極投資者，而傳統金融更適合穩健投資者。[2020/3/19]

由于流動資金量大，去中心化程度低，權限幾乎都掌握在多簽錢包中等特性，跨鏈橋也成了黑客眼中的“香餑餑”。根據SlowMistHacked統計，截至6月30日跨鏈橋安全事件共7起，損失高達10.43億美元，占比DeFi上半年總損失的64%，占比上半年總損失的53%。值得注意的是上半年，損失金額上億美元的事件4起中就有3起來自跨鏈橋。作為多鏈生態的重要基礎設施，跨鏈橋一方面承擔著巨量的資金流動，為用戶帶來了極大的便利，另一方面在安全性和去中心化水平上面臨許多挑戰，需要項目方提升安全、風控等能力。

交易平臺

加密貨幣行業一直處在監管漩渦中，首當其沖的就是加密貨幣交易平臺。交易平臺發生的安全事故分析如下：以全球交易量最大的平臺Binance為例，自2021年來，Binance已遭到數十個國家和地區的監管警告，包括歐洲、美洲、亞洲在內的多個地區。在全球強力監管信號下，Binance陸續在西班牙、法國、阿布扎比、迪拜、意大利、巴林等國家或地區獲得了監管許可并進行了注冊，逐步推進其合規化進程。

在上半年，全球共發生4起交易平臺安全事件，損失超7770萬美元，具體如下：

1月9日，LCX技術團隊在LCX交易平臺上檢測到一個未經授權的訪問，總共約794萬美元的加密資產被盜。

1月17日，Crypto.com少數用戶遭到未經授權提款，損失約3400萬美元，包括4,836.26ETH、443.93BTC和約66,200美元的其他加密貨幣。

2月8日，LockBit勒索軟件團伙稱從加密貨幣交易平臺PayBito竊取了大量客戶數據。

2月12日，來自美國南達科他州提供自主退休金賬戶的IRAFinancialTrust對加密交易平臺Gemini提起訴訟，指控稱由Gemini保管的屬于客戶退休賬戶的3600萬美元加密資產被盜。

慢霧安全團隊建議各大交易平臺健全內部管理與技術機制，通過引入安全審計機制、零信任機制、冷熱資產安全解決方案等來加強對數字資產的安全保障。

其他

不法分子看中加密貨幣的匿名性，區塊鏈已成為網絡黑產的新風口，呈現出越來越明顯的組織化與專業化趨勢，“勒索”、“欺詐”及“盜竊”已成為加密貨幣巨大安全威脅。據中國人民銀行支付結算司數據，2021年涉詐款項的支付方式中，利用加密貨幣進行支付僅次于銀行轉賬，排名第二位，高達7.5億美元；而2020年、2019年僅為1.3、0.3億美元，逐年大幅增長的趨勢明顯。值得關注的是，加密貨幣轉賬在“殺豬盤”詐騙中增長迅速。2021年“殺豬盤”詐騙資金中1.39億美元使用加密貨幣支付，是2020年的5倍、2019年的25倍。

攻擊手法概覽

以上187起安全事件中，攻擊手法主要分為四類：由項目自身設計缺陷和各種合約漏洞引起的攻擊；包含RugPull、釣魚攻擊等手法的Scam；由于私鑰泄露引起的資產損失；前端惡意攻擊，這四種主要攻擊手法占比安全事件總數量的95%。

上半年由項目自身設計缺陷和各種合約漏洞引起的攻擊共92起，造成損失10.6億美元，其中利用閃電貸引起的攻擊有19起，造成損失6133萬美元。因私鑰被盜引起的資產損失發生率約為4%，損失金額卻達到7.2億美元。隨著Web3的火熱發展，針對用戶和開發人員的攻擊層出不窮，尤其是針對Discord、Twitter等媒體平臺的釣魚攻擊，黑客通常會在獲取到管理員或者賬戶權限后，偽裝成管理員身份并發布釣魚鏈接。并且這些釣魚網站的制作成本非常低，在對知名NFT項目進行Copy后，通過贈送、免費等字眼誘導用戶授權，從而轉移用戶資產。而RugPull則是項目方主動作惡，上半年RugPull事件已達到42起，大部分發生在BSC鏈。

總結

盡管2022年區塊鏈技術正在飛速發展并且逐漸完善，但層出不窮的加密貨幣攻擊事件對區塊鏈生態安全態勢提出了新的挑戰。從統計數據來看，上半年發生安全事件次數較多的月份主要在5、6月；從各生態來看，BSC上安全事件發生最多；從賽道來看，損失最多的是跨鏈橋。

對此慢霧安全團隊建議：

對于機構和企業來說，最好能夠建立全面的網絡安全防護系統，防護從各個層次入侵的網絡安全威脅，并通過威脅感知體系快捷獲取病木馬、釣魚詐騙、網絡安全預警、漏洞報告在內的安全情報，一旦發生安全威脅能夠及時進行處理。

對于個人用戶來說，遵守以下安全法則及原則，可以避免大部分風險：

兩大安全法則：

零信任。簡單來說就是保持懷疑，而且是始終保持懷疑。

持續驗證。你要相信，你就必須有能力去驗證你懷疑的點，并把這種能力養成習慣。

安全原則：

網絡上的知識，凡事都參考至少兩個來源的信息，彼此佐證，始終保持懷疑。

做好隔離，也就是雞蛋不要放在一個籃子里。

對于存有重要資產的錢包，不做輕易更新，夠用就好。

所見即所簽。即你看到的內容就是你預期要簽名的內容，當你簽名發出去后，結果就應該是你預期的，絕不是事后拍斷大腿的。

重視系統安全更新，有安全更新就立即行動。

不亂下程序。

在此，十分推薦閱讀并掌握《區塊鏈黑暗森林自救手冊》。

區塊鏈發展道阻且長，期望隨著行業的不斷完善，區塊鏈可以迸發出更大的力量，走向更大的舞臺

Tags：區塊鏈加密貨幣NFTEFI為什么要有區塊鏈加密貨幣是干什么用的TOPDOG Vault (NFTX)DOGDEFI幣

Gate.io