區塊鏈安全月報 | 11月共發生安全事件16起，損失近5,600萬美元_DAP:Dapper Labs

來源：PeckShield

DApp?生態

11月份共發生5起DApp安全事件，其中EOS生態發生3起，ETH和TRON生態各發生1起。

1）EOSDApp

EOS生態發生的3起安全事件都跟EIDOS挖礦有關，具體而言，受EIDOS挖礦熱潮的影響，EOSIO主網的CPU資源消耗進入了高度飽和狀態，普通用戶根本無法正常使用網絡。

一些黑客也開始嘗試從DApp中偷取CPU資源進行挖礦。

11月06日，BigGame成為了首個被攻擊的DApp，它是一款為玩家代付CPU資源的DApp，黑客劫持了用戶和BigGame間的交易信息，在轉賬通知中嵌入了非法操作，故而成功竊取BigGame代付給用戶的免費CPU資源，直到它的CPU資源被耗盡為止。

《云南省“十四五”新型基礎設施建設規劃》發展安全可擴展的區塊鏈基礎設施:金色財經消息，云南省發布《云南省“十四五”新型基礎設施建設規劃》，規劃中提到準確把握新型基礎設施技術前瞻性強、升級迭代快的特點，重點推進5G、工業互聯網、物聯網、人工智能、區塊鏈等應用，以創新引領全省新型基礎設施建設。

建成人工智能、區塊鏈等一批新技術應用基礎設施，數字技術創新活力得到充分釋放。發展安全可擴展的區塊鏈基礎設施，依托已建區塊鏈網絡，進一步擴充區塊鏈網絡節點，持續完善云南區塊鏈基礎網絡。加快建設安全可擴展的區塊鏈開發部署、測試認證等公共服務能力，促進區塊鏈應用快速上線、降低開發運營成本。推廣云南區塊鏈平臺，推動更多行業應用快速開發與上線。持續推進“孔雀碼”在更多商品領域推廣應用。（云南省人民政府）[2022/5/10 3:04:47]

11月07日凌晨3時，另一款DApp游戲BetHash也遭到了同樣的攻擊。對于多數類游戲，玩家投注完，都會接收到DApp的游戲通知，此時，黑客就可以控制惡意程序劫持該通知嵌入內聯操作，進而實施攻擊行為。不僅BetHash，一些其他的類游戲包括?EOSBet、EOSMMM，Trust-Dice，WinPlay?等等也被相繼攻擊了。

美股開盤：美股區塊鏈概念股普遍下跌:美股開盤，三大股指小幅低開，美股區塊鏈概念股普遍下跌。柯達平盤，埃森哲下跌0.14%，overstock.com下跌0.54%；RiotBlockchain下跌0.47%，MarathonPatent下跌2.25%，Square下跌0.17%。[2020/6/30]

問題貌似愈演愈烈，11月11日凌晨3時，攻擊開始延伸至EOSIO系統的bidname?短賬號競拍上，甚至可以無限制的使用EOS系統的CPU資源。如果你想競拍一個短賬號，例如：baaa，你開始從0.0001個EOS起競拍，當某人出價高出了10%的話，你的出價就會被返還。黑客在EOSIO系統返還的過程中劫持轉賬通知實施攻擊。由于EOSIO系統擁有無限量的CPU資源，黑客就可以持續通過攻擊獲得CPU資源。

聲音 | 科藍軟件：與螞蟻金服在區塊鏈方面已有廣泛深入的合作:科藍軟件（SZ300663）董秘在互動平臺回復投資者就“恒生減持公司股票，對科藍和螞蟻金服的影響及數字金融行業公司有那些進展”提問表示，科藍與螞蟻在互聯網銀行的前臺、中臺、后臺產品和項目以及區塊鏈方面已經有廣泛深入的合作，雙方是戰略層面的合作，并且還在繼續深化以及向其他領域擴展。 根據恒生電子(75.300,?1.19,1.61%)9月26日發布的公告：“（恒生）公司所持的科藍軟件股票的前期浮動盈利已計入公司本年度凈利潤中，本次出售使得科藍軟件股票部分前期浮動盈利已經轉化為現金收益”，恒生在科藍屬于財務性投資，正常減持。恒生和科藍都屬金融科技公司，因細分領域不同，所以沒有產品和項目合作關系，其減持對科藍發展沒有任何影響！在正在召開的云棲大會上，公司剛剛獲頒“阿里云專有云首批行業ISV合作伙伴認證”，與螞蟻共創的“電子渠道逸平臺解決方案”也在上月通過了V3版本兼容性測試認證。毋庸置疑，國內數字金融行業正在起飛，公司未來會與螞蟻一起，將更多創新的產品提供給客戶。[2019/9/27]

據DAppTotal數據顯示，近7天EOSCPU擁堵指數都為100%。

聲音 | 黃曉慶：區塊鏈等技術會促使出現產生巨大效益的互聯網公司:據經濟觀察網報道，在3月31日的2019中國IT領袖峰會上，面對主持人“5G時代創業者有沒有可能顛覆BAT”的問題，前移動研究院院長黃曉慶認為，未來還會有很多新技術，比如把集中化變成分布式的區塊鏈技術，這樣就會出現不需要基礎設施就產生很大效益的互聯網公司，在5G時代下，這些創業公司有很大機會可能顛覆BAT。[2019/4/1]

2）ETHDApp

ETH生態發生的1起安全事件跟DeFi市場AugurDApp有關。具體而言：Augur是構建于以太坊網絡上的預測市場協議，鏈下Oracle會爬取多處的信息再提交到鏈上。惡意攻擊者通過在Twitter等社交媒體故意發布虛假信息，從而影響Oracle數據源，操縱預測結果。

3）TRONDApp

TRON生態發生的1起安全事件是常見的交易回滾攻擊。PeckShield安全人員發現TGiN78地址開頭的黑客通過自主創建的合約對波場TR66FA地址開頭的合約發起交易回滾攻擊，共計獲利18,808TRX。

PeckShield點評：以上DApp生態安全事件基本都是由合約玩家導致的，DApp在接收玩家代幣或者發送通知之前應檢查目標賬戶是否為智能合約。

交易所安全

11月份共發生3起交易所安全事件，其中兩起和黑客攻擊有關。

1）韓國交易所Upbit34.2萬枚ETH被盜，總價值約5,000萬美元；

2）越南交易所VinDAX被黑客入侵，損失了至少500萬美元的加密貨幣；

3）BitMEX交易所發生大量郵箱地址泄露事件。

北京時間11月27日12時04分，PeckShield旗下數字資產可視化資產追蹤平臺CoinHolmes監控到Upbit交易所地址向未知錢包和Bittrex交易所連續進行大額轉賬，其中有一筆涉及34.2萬枚ETH的交易較為異常，可能遭到了黑客攻擊。之后Upbit交易所發出公告，承認自己的以太坊熱錢包被盜了34.2萬個ETH，當他們發現被盜后，很快將熱錢包中其他資產轉移到了冷錢包。

11月28日15點08分，CoinHolmes監控到韓國Upbit交易所被盜ETH資產首次出現異動，0xa09871ae開頭的黑客地址向多個地址轉移盜取的ETH，同時發送了極少量ETH至Huobi，幣安等交易所地址。

一圖概覽Upbit交易所被盜資?流向圖：

PeckShield點評：今年以來，黑客已經盜取了多家交易所價值數億美金的代幣，例如此前發生的Cryptopia、幣安、DragonEx、Bitrue等交易所被盜事件。PeckShield建議交易所使用更加安全的防范系統，保管好自己的私鑰，采用多簽等機制防范。

勒索相關

11月份共發生5起勒索有關的安全事件，其中出現了幾種新型的勒索軟件，例如NextCry勒索軟件會利用PHP-fpm遠程代碼執行漏洞針對Linux服務器發起攻擊嘗試入侵。

PeckShield點評：對于一些可疑的網站和郵件，用戶需要謹慎訪問，同時要及時安裝操作系統發布的漏洞補丁。即使電腦已受到勒索軟件感染，也要向專業的安全人員尋求幫助，而不是給勒索軟件付費。

釣魚攻擊等其他安全事件

除上述之外，11月份還有一些安全事件同樣值得警惕：

1）加密錢包GateHub的140萬個用戶賬戶信息被盜，包括密碼、密鑰和助記詞等；

2）門羅?CLI?二進制文件遭破壞，用戶下載文件后需要及時檢查文件完整性。

PeckShield點評：因用戶安全意識欠缺且操作規范性造成的各類安全隱患一直層出不窮，釣魚攻擊、詐騙等各類事件就是典型。在此提醒，用戶應謹慎保管各類私密信息，任何小的疏忽都可能造成不可挽回的損失。

Tags：區塊鏈APPDAPPDAP區塊鏈是窮人的最后一次機會metamask安卓app下載區塊鏈dapp開發例子Dapper Labs

萊特幣價格