APE:PeckShield：2019年度區塊鏈安全復盤總結暨區塊鏈十大安全事件

如果說2018年，我們做區塊鏈安全擁有了“上帝視角”，那過去的2019年，我們則收獲了“圣母心態”。2018年，基于代碼技術底層，我們俯瞰交易所、錢包、礦池、DApp等生態各個環節，挖漏洞、搭態勢感知平臺、發威脅情報，向行業科普漏洞背后的技術原理，引領行業從一次次安全事件的“教育”中，加強安全防護，鞏固安全壁壘。2019年，通過滲透業務邏輯，我們深入智能合約、DeFi、地址溯源、暗網等不同產業底層，搭鏈上數據預警系統，搶先洞察安全威脅，深入社區協同開發者做應急響應，誓為行業發展掃平一切路障。據區塊鏈安全公司PeckShield數據顯示，2019年全年區塊鏈安全事件177起，造成的經濟損失高達76.79億美元，環比2018年增長了60%左右。過去一年，PeckShield敏銳觀察到：1）區塊鏈安全波及范圍面更廣了，從交易所到數字錢包，再到DeFi領域，越是離錢越近的地方，越會是黑客攻擊的重災區；2）開發者安全意識普遍有所提高，DApp、智能合約等原先存在的溢出、重放、隨機數等基礎型攻擊方式整體減少了，開發者安全防御普遍有所提高，倒逼黑客攻擊方式不斷演變；3）安全危機事發背后的原因越來越魔幻了，私鑰丟失、代碼預留后門、冷錢包被攻擊、創始人離奇死亡等花式“漏洞”亂花漸欲迷人眼，技術BUG易除，人性BUG難平；4）理財錢包詐騙、跑路事件等成為行業新患，基于普通大眾在區塊鏈技術上的認知盲區，不法分子炮制各類傳銷幣、模式幣、空氣幣攪亂行業風氣；5）交易所跨國境資產流動更加頻繁了，隨著數字資產的廣泛普及，區塊鏈生態頭號玩家“交易所”的中樞作用愈發凸顯，交易所之間資金流動的背后存在未監管資金大規模“出海”事實。交易所安全重回公眾視野

ApeCoin DAO發起新提案AIP-250擬優化APE代幣質押智能合約:金色財經報道，ApeCoin社區已發起新提案AIP-250投票，該提案提出了新的APE代幣質押解決方案，旨在使用戶能夠在出售BAYC、MAYC、BAKC的同時收到預付款，并以復合獎勵質押APE，繼而解決質押NFT升值與獲取質押獎勵之間的互斥困境。此外，除了APE質押獎勵之外，NFT持有者將能夠通過產生額外的被動收入來利用其NFT價值，繼而最大化APE代幣質押獎勵和靈活性。據悉，如果AIP-250提案獲得通過，將部署新的APE Stake質押智能合約，該合約使用戶不僅可以通過自動再投資進質押，還可以以NFT進行借貸或以預付收入將其掛牌出售，確保NFT所有者即使在質押期間仍然可以產生現金流或利用其 NFT 的升值價值，據悉該提案投票將于8月10日結束。[2023/8/6 16:21:23]

2019年05月08日，全球知名的交易所幣安被曝遭遇了黑客大規模系統性攻擊，黑客獲取了大量API密鑰，谷歌驗證2FA碼等信息，一次性提走了7,000枚BTC。這次突發的交易所安全事件，讓人聯想到去年3月份幣安的驚魂一夜，部分幣安用戶發現自己賬戶中的代幣被拋售，導致數字資產價格下跌10%。相比之下，今年幣安再遭一劫后，數字資產市場并沒有太大的波動，用戶在應對黑天鵝事件的心態正趨于成熟，且攻擊發生后，幣安創始人兼CEO趙長鵬隨即宣布通過SAFU進行全額賠付，很快將事件的負面影響平息了下來，最終，并沒有對二級市場造成太大沖擊。不過，這次事件暴露出了交易所安防面臨的挑戰尤為艱巨。幣安除了鞏固自身服務器安全之外，還得提防中間資產托管服務是否遭到木馬入侵，尤其是用戶客戶端遭劫持的情況下。這就倒逼交易所同樣需要從業務層加強審核機制，比如，自動化提幣額度分級，人工審核提幣等。事實上，在去年年底Upbit交易所被曝遭遇攻擊，損失了34萬ETH，再次給交易所安全敲響了警鐘，尤其是釣魚、API劫持、服務器木馬攻擊等等偶然性攻擊因素。這同時給市場提了一個醒，最大的安全風險可能不是來自企業防護層，而關系到每一個用戶的安全意識和操作習慣。DeFi安全成未來行業重災區

ApeCoin新提案AIP-254獲得通過，將推出數字盾牌NFT并分發給APE生態用戶:金色財經報道，ApeCoin社區旨在推出數字盾牌（shield）NFT的新提案AIP-254已獲得通過，Snapshot數據顯示最終投票贊成率達到57.86%，按照提案內容，ApeCoin NFT數字盾牌將用于Decentraland、The Sandbox、Otherside 等元宇宙游戲中將其設置為可穿戴武器，并且分發給前15萬名ApeCoin持有者和BAYC、MAYC、CryptoPunks、Meebits、BAKC、Otherside 持有者，此外FREE Golden ApeCoin NFT分發給前690名ApeCoin持有者。[2023/8/5 16:20:38]

2019年，以太坊公鏈賽道跑出了DeFi這匹野馬，讓業界普遍認知到。區塊鏈技術基于DeFi金融應用場景獲得大規模落地應用的可能。目前DeFi應用中，以MakerDAO、Compound、dYdX、instaDApp等金融借貸平臺為主，主要滿足用戶抵押數字資產借貸穩定幣的需求，此外還發展出了諸如Synthetix、Augur等衍生品平臺。DeFi特有的類樂高積木似的可組合特性，讓DeFi賽道展現出超強的活力，很可能會是未來兩三年區塊鏈領域的焦點。DeFi產品基于智能合約和交互協議搭建，代碼普遍開源，資產完全在鏈上，極容易成為黑客攻擊的重心。今年05月07日，頭部DeFi借貸平臺MakerDAO被曝治理合約存在安全漏洞，PeckShield隨即介入參與，呼吁社區用戶盡快轉移暴露在危險下的MKR資產，同時獨立分析研究了漏洞細節，協助MakerDAO官方進行了漏洞修復，所幸最終并沒有產生任何攻擊損失。事實上，今年年初Compound、Nuo也先后被曝出過智能合約問題，在此后的半年時間內，Synthetix、0x協議、Edgeware等DeFi相關應用也被曝出存在潛在安全隱患。0x去中心化交易所協議合約在校驗訂單簽名時存在缺陷，受其影響一大批部署了0x協議的DEX平臺可能都存在潛在安全風險。不過，這些DeFi平臺在曝出安全威脅后，第一時間聯合安全公司進行了漏洞修復，最終并沒有產生較明顯的安全損失。但卻透露出一個危險信號，黑客已經盯上DeFi領域了。一旦DeFi平臺的資產抵押規模和受眾群體再上一個量級，這個領域很可能會是繼DApp之后的下一個安全事件多發區。理財錢包詐騙成行業新瘤

ApeCoin社區發起提案AIP-275擬優化ApeCoin DAO治理參與:金色財經報道，ApeCoin社區發起提案AIP-275擬優化ApeCoin DAO治理參與，據悉該提案由DAO生態發現及分析引擎DeepDAO增長負責人Aman撰寫，旨在利用數據分析和細分來識別和解決參與ApeCoin DAO的障礙，從而制定量身定制的激勵措施和舉措，通過深入了解APE代幣持有者的興趣和活動模式，DAO可以優化其治理流程并培育一個更加積極參與和充滿活力的社區。DeepDAO將為ApeCoin DAO 提供有關所有治理參與者和非活躍APE代幣持有者的分析報告、興趣/活動分析CSV文件等。Snapshot數據顯示，該提案的投票結束日期為7月20日，當前反對票比例為91.79%。[2023/7/16 10:58:00]

2019年，PlusToken、TokenStore、OneCoin等理財錢包被曝跑路，卷走數百億數字資產，令數百萬投資者奔上了漫漫“維權路”。區塊鏈技術概念被一些不法分子包裝成低投入、高收入的理財模式，用來詐騙一些對區塊鏈行業認知欠缺的普通用戶。PlusToken號稱是一家在韓國注冊的加密幣錢包和交易所，其真實面目是一個用高回報吸引投資者的旁氏騙局。PlusToken許諾給投資者10%-30%的月息，并以高回報吸引大量投資者相繼投入了20萬枚BTC，78萬枚ETH，和2,600萬EOS等價值不菲的數字資產，涉及資金達到200多億人民幣，用戶超300余萬人，影響范圍非常廣且危害巨大。2019年6月29日，PlusToken用戶反饋無法提幣，項目方也被媒體曝光跑路，隨后又傳出六名主要負責人被中國逮捕。然而，其涉及的巨額贓款仍沒有追回并返還受害者。在隨后的數月內，PlusToken的BTC資產、ETH資產，EOS資產出現多次洗錢操作。PeckShield旗下可視化資產追蹤平臺CoinHolmes監控到，PlusToken的部分資產開始匯聚、分散轉移，再通過類似ChipMixer的工具進行混淆，再通過場外OTC的渠道賣出。但目前而言，只有少部分資金被洗成功了，大部分數字資產依然懸而未決，以至于一旦出現行情不明緣由大跌的情況，就有分析稱是PlusToken砸盤。PlusToken效應如同股市里的丁蟹效應一樣，成了大家畏懼的存在。不過，客觀來看，理財錢包的出現，能讓一部分普通用戶接觸到區塊鏈以及各類數字資產，給行業帶入新的流量和資金。短期看對行業是利好影響。然而，長期來看恰恰相反，隨著這類理財錢包的崩盤和跑路，大批的普通用戶會成為受害者，帶著偏見和認知差可能會永遠的告別這個行業。凡是過往，皆為序章。盡管過去三年以來，區塊鏈行業安全事件造成的經濟損失呈愈演愈烈之勢。我們通過黑客攻擊方式的演變以及生態目前面臨的安全威脅發現，區塊鏈行業安全正在從草莽期逐漸趨向成熟，表現在：1）出現了一批優秀的區塊鏈安全公司。他們專注于區塊鏈安全攻防，為行業生態提供專業的安全監測、態勢感知、威脅情報、AML可視化等專業化工具，和躲在區塊鏈黑暗森林的黑客，形成了一支相抗衡的正義力量;2）智能合約、DApp生態上一些簡單且具有連帶威脅的漏洞正逐漸減少。盡管黑客們仍持續進行撒網式的攻擊嘗試，但項目開發者基礎的安全攻防意識已初步形成，一些較為低級的安全漏洞明顯有所減少;3）交易所、理財錢包等離用戶比較近的平臺成為安全事件頻發的重災區，這是由于行業發展早期，用戶端安全意識薄弱造成的隱患。比如針對用戶進行的釣魚木馬入侵和高理財收益詐騙等。換個角度來看，說明區塊鏈市場的安全薄弱環節從B端已經轉移到了C端，安全守護工作逐漸變得可控、可防也是一種進步；4）數字資產“合規化”引領下一輪行業發展。一方面，國家頂層設計將區塊鏈技術定義為核心技術突破口，另一方面未受監管的數字資產數額越來越大。區塊鏈數字資產領域開始面臨“合規化”的新挑戰。包括，交易所KYT服務、AML反洗錢服務、黑客贓款追蹤服務等等。短期看，監管肅清可能會給生態帶來致命打擊，但長期看，被納入監管或許是下一輪高速發展的開端。附：2019年度區塊鏈十大安全事件

游戲主播Dr Disrespect旗下工作室將基于Polygon發行NFT:3月16日消息，YouTuber網紅和《使命召喚》游戲主播Dr Disrespect于去年12月成立游戲開發工作室Midnight Society，該品牌現在將為早期社區成員發布10000個“Founders Access”NFT。

Dr Disrespect的游戲NFT將基于Polygon區塊鏈，單價50美元。根據Midnight Society網站，Founders Passes不會給玩家任何付費獲勝（Pay-To-Win）的特權，但持有者將獲得早期訪問游戲版本、可在Midnight Society游戲中使用的個人資料圖片、工作室活動訪問權和針對游戲功能的投票權。（Decrypt）[2022/3/16 13:59:39]

聲音 | PeckShield: 零成本癱瘓EOS或\"穩贏\"所有競猜DAPP:今晨，Block.one進行了主網升級，針對此前由區塊鏈安全公司PeckShield披露的EOS主網致命拒絕服務漏洞（CVE-2019-6199)進行了修復，PeckShield也已通過媒體發布專欄文章進行技術詳解CVE-2019-6199。

PeckShield認為：該漏洞最大的威脅在于，其不僅可以癱瘓主網，還會被被黑客用來大面積攻擊現有其他競猜類DApp，直接會影響現有幾乎全部 EOS 競猜類 DApp 的正常開獎，進而嚴重制約 EOS DApp 生態的發展。目前已經有EOS.Win、FarmEOS、影骰、LuckBet、GameBet、EOSDice、STACK DICE等多款游戲被攻擊。

PeckShield再次發出提醒，目前EOS主網補丁還不能完全確保DApp免疫該漏洞，還需開發者進一步就隨機數生成問題進行處理，并引入類似DAppShield安全盾這樣的風控機制，減少或避免因阻塞攻擊造成資產損失。[2019/1/16]

Tags：APE區塊鏈COICOINBlock Ape Scissors區塊鏈適合什么人做B3CoinATW coin

BTC