NFT:創宇區塊鏈7月安全月報

安全事件也變的頻繁發生，攻擊者在本月也是“火力全開”，從各個方面進行攻擊。據知道創宇區塊鏈安全實驗室數據顯示：該月發生的安全事件超43起，其中跑路騙局和釣魚造成的單個損失也愈發嚴重，代表事件為UniswapV3釣魚攻擊和DRACNetwork的RugPull，而月初DeFi協議CremaFinance被攻擊造成的損失尤為慘重。本月安全事件造成的損失總金額共計約29,000,000美元。

通過對本月各類型安全事件的數量和占比分析，不難發現網絡釣魚安全事件仍然占比最多。再次提醒大家要對網絡釣魚提高警惕，可借助一些工具來減少被釣魚的風險，如：FishAlert?插件，可減少被釣魚風險。

本月安全事件對比6月數量雖然略有下降，但整體局勢仍處在安全事件高發期。再此提醒大家，對于安全應持續提高安全意識，保持對安全問題的敏銳性。

以下是知道創宇區塊鏈安全實驗室對七月各類型安全資訊的總結，并就其暴露出的問題進行探討。

Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

Coinbase：限制質押服務只會阻礙民眾參與加密經濟并從中受益:7月15日消息，Coinbase官方發文稱，美國10個州啟動了與Coinbase零售質押服務相關的訴訟程序。我們的絕大多數客戶沒有受到影響，但在加州、新澤西州、南卡羅來納州和威斯康星州的訴訟程序完成之前，他們已經要求對我們的零售質押服務進行限制，盡管我們的質押服務多年來一直是安全透明的。

限制質押不會給當地居民帶來任何好處，而是只會限制這些居民參與加密經濟并從中受益。但我們將在訴訟過程中遵循各州的命令。我們支持質押。如今，幾乎所有主要的區塊鏈都依賴于質押，因為它是開放、安全和環保的。每個州的美國人都應該享有同樣的技術和經濟機遇。

此前金色財經今日凌晨報道，Coinbase將暫停加利福尼亞州、新澤西州、南卡羅來納州和威斯康星州的加密質押服務。[2023/7/15 10:57:13]

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

Stride：第一年 STRD 代幣通脹量遠低于計劃數值，或將通過治理提案進行修正:12月16日消息，Cosmos 生態流動性質押協議 Stride 表示，按照目前的速度計算，第一年 STRD 代幣通脹量為 350 萬枚，遠低于計劃的 950 萬枚，或將通過治理提案進行修正。此外，社區治理剛剛通過了一項提案，該提案會將 Stride 收取的質押獎勵的 10% 分配給 STRD 質押者，這些資金原本被分配給協議本身。Stride 基金會表示，Stride 是一個開源項目，STRD 質押者可以通過投票來改進代幣經濟學。[2022/12/17 21:49:44]

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

路透社：Valereum對直布羅陀證券交易所的收購交易獲批:金色財經報道，區塊鏈公司 Valereum 已獲得直布羅陀金融服務委員會的批準收購直布羅陀證券交易所（GSX），目前該公司尚未對外披露收購金額，預計整體交易將在 2023 年第一季度完成，屆時將重點拓展中東、印度和非洲市場業務。此外，Valereum 還披露直布羅陀證券交易所計劃在 2023 年一季度發布 NFT 戰略，旨在 NFT 所有權與傳統證券之間建立聯系。（路透社）[2022/11/1 12:06:08]

?7月3日，Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

游戲巨頭雅達利推出50周年紀念NFT:8月26日消息，游戲巨頭雅達利（Atari）宣布推出50周年紀念NFT，將于9月發售，總計發行2600枚。此外，雅達利還宣布推出Room 133元宇宙，并與多家業內知名企業達成合作，包括Animoca Brands、Nifty Labs、The Sandbox、Unstoppable Domains、RTFKT等。[2022/8/26 12:50:25]

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

數據：持有至少0.01枚ETH的地址數達3個月低點:金色財經消息，據Glassnode數據顯示，當前持有至少0.01枚ETH的地址數為22,429,090，達3個月低點。[2022/8/6 12:05:36]

DAO發生RugPull，代幣下跌99.9%，約773枚BNB被轉移至TornadoCash。

?7月20日，RacKiller發生RugPull，代幣價格下跌超70%。

?7月20日，NumberSwap發生RugPull，代幣價格下跌超96%。

?7月20日，Neoteric.finance發生RugPull，其NTRC代幣價格下跌超91.6%。目前的報告顯示損失約為10萬美元。

?7月20日，AngelsToMiracles項目發生RugPull，ATM代幣價格下跌46%，有1943.3枚BNB轉移至TornadoCash，損失約53萬美元。

?7月20日，ORCHID項目發生RugPull，ORCHID代幣價格下跌超96.4%，目前的報告顯示損失約為5萬美元。

?7月25日，DeFi項目DRACNetwork發生RugPull，代幣TEDDY價格下跌99.4%，1萬枚BNB和200萬枚BUSD轉入幣安。損失約為450萬美元。

?7月26日，SKG代幣項目RugPull，價格下跌超過80%。超過10萬枚SKG被出售，資產利潤超過7萬美元。

?7月27日，LarpFinance項目發生RugPull，LARP代幣跌幅超過80%。合約部署者出售了最初鑄造的LARP代幣并獲利2.8萬美元。

?7月29日，secondunclecoin二舅幣池發生Rugpull，合約部署者已通過TornadoCash清洗贓款，截至目前代幣SUC價格已下跌99.7%。據統計，本次詐騙事件的利潤總額高達130萬美元。

網絡釣魚安全類型事件

?7月6日，NFT項目SpikySpaceFish的Discord服務器遭黑客攻擊，請用戶不要點擊任何鏈接，且不要參與鑄造或批準任何交易。

?7月6日，Otherside官方推特帳號疑似被盜，其個人資料已更改為展示OthersideMetaNFT圖像并推銷騙局。

?7月9日消息，NFT項目DopeApeClub的Discord服務器遭到攻擊。聊天被鎖定，攻擊者發布了一個釣魚鏈接。請社區用戶不要點擊鏈接、鑄造或批準任何交易。

?7月12日，黑客通過釣魚攻擊在UniswapV3上竊取7500ETH，協議本身并無安全問題。

?7月14日，NFT項目AzukiArt的Discord服務器遭到了黑客攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月15日，NFT項目LonelyAlienSpaceClub的Discord服務器遭到入侵，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月16日，P2E元宇宙項目Botborgs的Discord服務器遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，NFT管理平臺NFTYDash的Discord服務器和Twitter賬號遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，premint.xyz遭到黑客攻擊，黑客在premint.xyz網站中通過植入惡意的JS文件來實施釣魚攻擊，欺騙戶簽名setApprovalForAll(address,bool)的交易，從而盜取用戶的NFT等資產。

?7月18日，originals-adidas.com被證實是一個釣魚網站，19枚ETH和17枚NFT已進入詐騙者地址。

?7月19日，NFT項目Maximalist的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月21日，NFT項目TablelandDiscord遭遇攻擊，公告板塊發布釣魚鏈接，團隊部分成員已被踢出。請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月25日，NFT項目NENStudio的Discord服務器遭受攻擊。請社區用戶不要點擊鏈接、鑄造以及批準任何交易。

?7月27日，NFT項目TheAmericansNFT的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，NFT項目OldSport的Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，ApachesNFT項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，DAISUKI項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

貨幣和NFT的帖子。

?7月4日，多名用戶加密錢包MetaMask的POAP被盜，建議提醒用戶撤銷之前與NFT市場Eporio交互的所有POAP批準。

?7月26日，Windows版Coremail郵件客戶端存在RCE漏洞，攻擊者可通過給用戶發送含有惡意程序的郵件從而控制用戶主機，可能導致錢包私鑰泄露。

總結

從Defi安全形勢來看，本月安全事件中閃電貸攻擊和重入攻擊較為普遍，邏輯漏洞也是頻現，項目方對于此類攻擊事件應做好提前防護。特別是CremaFinance安全事件提醒我們攻擊者能通過閃電貸進行花式攻擊，所以對于閃電貸的安全性項目方一定要深思熟慮。知道創宇區塊鏈安全實驗室在此提醒，對合約安全有必要做到常規審計和復合審計，保障合約免受其他攻擊影響，同時高度重視授權問題，對于授權要有明確的時間限制。

從網絡釣魚以及騙局跑來看，網絡釣魚和騙局跑路所造成的損失也在逐月加重，一方面是數量增多，另一方面單個事件造成的金額損失也增多，所以用戶在投資之余也要多學習區塊鏈知識和防騙意識，確保自己的資產不會不翼而飛。

Tags：NFTANCDISCORDUltra NFTcoinbase和binanceDISC價格Ordocoin

MANA