比特幣行情 比特幣行情
Ctrl+D 比特幣行情
ads
首頁 > 火必 > Info

DEF:2021年區塊鏈黑客攻擊頻發的原因是什么?后續的安全工作要如何改進?

Author:

Time:1900/1/1 0:00:00

原標題:《一文揭秘2021年區塊鏈黑客攻擊頻發的原因》

區塊鏈以無審查著稱,是一片鼓勵創新的熱土,也是滋生犯罪的溫床。當年眾籌超過1.5億美金的TheDao被黑客盜幣后,進行了硬分叉操作,由此產生了如今的以太坊。自區塊鏈創世以后,各種針對交易所、錢包以及dapp的黑客盜幣事件頻發。那么,2021年區塊鏈安全領域又經歷了何種波瀾,后續的處理工作又是如何的呢?

2021年區塊鏈黑客盜幣事件整理

由于2021年市場情緒熱烈,黑客盜幣的金額打破了往年的歷史記錄。截至三季度,統計一共有32起黑客入侵事件導致了15億美金的資產被盜,而去年全年這個數字是1.8億美金。

Banxa 2023年Q3收入1580萬美元,同比增長21%:金色財經報道,加密貨幣支付解決方案Banxa Holdings Inc.提交2023財年第三季度(2023年1月至3月)未經審計的業績。總交易量(TTV): 1.67億澳元(1.09億美元),比上一季度增長12%;收入2410萬澳元(1580萬美元),比上一季度增長21%;毛利潤:520萬澳元(340萬美元),比上一季度增長8%;營業收入為60萬澳元(40萬美元),主要是由于210萬澳元(138萬美元)的股票回記費用,比上一季度增長了141%;調整后EBITDA虧損90萬美元(0.58美元),較上一季度增長38%。[2023/5/31 11:50:31]

1)defi協議

Uranium?Finance——邏輯漏洞

2021年4月份流動性挖礦協議Uranium受到了攻擊,被攻擊的智能合約是MasterChief的修改版本。其中,用于執行“質押獎勵”的代碼出現了邏輯漏洞,使得黑客可以獲得比別人多的挖礦獎勵。黑客抽干了RAD/sRADS的池子,并將它換成了價值130萬美元的BUSD以及BNB。

歐易OKX獲領英2022全球吸引力雇主獎:據官方消息,12月21日,歐易OKX獲得領英頒發的MostIn2022全球吸引力雇主獎。歐易OKX是此榜單唯一獲獎的Web3科技公司。領英頒發的2022全球吸引力雇主獎旨在評選并表彰全球范圍內最具人才吸引力,以及最具品牌影響力的先鋒企業,獲獎企業包括騰訊、阿里巴巴、字節跳動、華為、特斯拉中國、歐易OKX等。

據此前報道,歐易OKX員工分布在50多個國家和地區,歐易OKX曾宣布擴招30%,使團隊總人數達到5000人。[2022/12/22 22:01:17]

CreamFinance——預言機操縱

10月27日,CreamFinance預言機受到操縱。攻擊者從MakerDAO借用DAI來創建大量yUSD代幣,同時通過操縱多資產流動性池來操縱預言機對yUSD的報價。在提高了yUSD的價格后,攻擊者的yUSD價格被人為提高,從而創造了足夠的借款限額以借走CreamFinance在以太坊v1借貸市場的絕大部分資金。而Cream.Finance于8月30日也曾遭到閃電貸攻擊。

全國政協主席會議舉行了2022年首次集體學習“數字貨幣的應用”報告:金色財經報道,據《人民日報》(2022年03月30日01版)消息,政協第十三屆全國委員會第七十次主席會議29日在京召開,主席會議舉行了2022年第一次集體學習,中國人民銀行數字貨幣研究所所長穆長春應邀作題為“數字貨幣的應用”的報告。[2022/3/30 14:27:39]

BadgerDAO——前端惡意代碼注入

攻擊者獲取了項目方在Cloudflare后臺的APIKey,以此在網站的前端代碼里面注入一系列的惡意代碼。當用戶訪問前端網站時,觸發惡意代碼后會發起交易讓用戶去確認。假如用戶確認了那筆惡意交易,就會將通證使用權給到攻擊者。攻擊者就可以通過托管使用權將錢全部轉走。

Anyswap——后臺簽名

出事是因為后臺簽名時采用了不恰當的值,攻擊者通過兩筆交易來推導出了它簽名的私鑰。

印度加密平臺CoinDCX在2021年用戶增長近一倍:12月27日消息,印度加密貨幣交易所CoinDCX稱,平臺用戶從2021年初的300萬增加了一倍多,目前達到750萬。其大部分用戶群年齡在18-24歲之間。(economictimes)[2021/12/27 8:07:24]

簡而言之,defi協議除了自身的代碼需固若金湯,因其需與其他協議交互的可組合型,業務邏輯也要嚴絲合縫。最重要的是,Defi協議需借助第三方服務,而這些第三方服務很有可能面臨外部操縱的風險,這也是產品受到黑客攻擊的主要原因。

2)錢包——釣魚信息

舉個比特幣錢包Electrum的例子,當用戶舊版本并連接到攻擊者的節點是,攻擊者通過節點向這個錢包發送釣魚信息。當用戶看見釣魚信息并下載帶有后門的錢包時,黑客便輕松掌握了用戶的私鑰。

3)交易所

不同于項目方一旦出事,人們可以通過鏈上公開的交易記錄進行分析;交易所出事只有內部人員知道發生了什么,那些信息也不會被公開。一般交易所出事來自于這幾個方面:交易所的服務器被黑了,攻擊者訪問到了服務器里面存在熱錢包的私鑰。交易所的工作人員被釣魚攻擊,然后攻擊者通過工作人員的賬號訪問到內部系統,接觸到了熱錢包的私鑰等等。

2020減產幣種行情播報:金色財經數據顯示,10個減產幣種今日8漲2跌。漲幅前三為:HPT(0.0076美元,+2.17%)、ZEC(52.05美元,+2.07%)、BSV(241.92美元,+1.58%);下跌幣種為:XZC(5.58美元,-0.78%)、BEAM(0.63美元,-0.56%)。[2020/3/6]

資產被盜后的處理方式

關于資產被盜后的處理方式,可以從三個角度來分析。

項目方一般會采取這幾個解決方式:

1)即時暫停智能合約中的通證轉移和交易服務;對于不能暫停的合約,查看合約里可以使用的特權函數并屏蔽掉一部分合約的服務,避免合約被再次攻擊。

2)同時向社區發出警告,避免新的投資者把財產放到有漏洞的合約里面。

3)聯系第三方安全公司,請求幫助分析漏洞產生的原因,并合作共同修復漏洞。

4)對于被盜資金的去向,假如合約里面存在黑名單功能;第一時間屏蔽黑客地址,防止黑客進行資金轉移。

5)和安全公司和執法部門合作追回被盜的財產,同時想出合理的補償方案來減少用戶的損失。

從交易所的角度來說,有兩種情況:

1)假如交易所本身被盜,需第一時間暫停所有的提現充值功能,把損失降到最少。交易所保留系統里面的所有信息以便日后做分析使用,聯系安全公司或者執法部門,幫忙做財產追蹤。

2)假如某個項目被黑的話,交易所可以監控黑客相關鏈上地址,如果監測到最新充值的關聯地址,凍結該賬戶。

安全公司需要做到以下幾點:

1)在事件發生之后分析漏洞產生的原因,并修復漏洞。

2)在項目重新上線之前提供安全審計服務,以減少項目重新上線之后的安全風險。

3)發布社區警告,同時查看有沒有別的項目存在相同的漏洞。如果有項目存在相同漏洞,可以通過保密渠道發出警告。

4)通過鏈上技術手段來追蹤資金流向以及分析鏈下信息,幫助執法部門抓到黑客。

那么,為何安全公司對于漏洞已經層層篩查,還會被黑客有機可趁?事實是,對于某個項目的審計工作只能持續數個星期,而黑客的時間和精力是無限的。他們一旦瞄準某類項目,便會有比審計公司多得多的時間進行研究并展開行動。

今年出現的跨鏈橋項目屢次受到攻擊便是因為此類項目中鎖著大量的用戶資產。其次,跨鏈橋和其他Defi項目的不同的點是:普通Defi項目幾乎100%的邏輯是在智能合約上實現的,而跨鏈橋是web2和web3的結合,是智能合約和傳統后臺的結合。非去中心化且存有巨額鎖倉資金的賽道給到了黑客攻擊的機會。

未來區塊鏈安全展望

未來隨著技術的發展,區塊鏈行業會變得日益安全嗎?理論上是的。先說底層技術,首先編寫智能合約的solidity語言是在慢慢變得成熟的。在最近的solidity版本8.0之后,之前比較常見的一種漏洞叫做integeroverflow便銷聲匿跡了。

其次,安全的開源代碼庫也會提高安全系數。OpenZeppelin代碼庫是由專業人員寫的一個開源的代碼庫,它的代碼質量會相對比較高、比較安全。項目方只需要在代碼庫的基礎上添加想實現的一些功能,便能實現從零開始寫代碼。https://github.com/OpenZeppelin/openzeppelin-contracts

現在有很多安全工具會對代碼進行檢查;它可以幫助項目方在沒有聯系安全公司的情況下,找到一些潛在的漏洞,從而提高代碼的安全性。隨著越來越多的技術人員加入到這個領域來,區塊鏈行業的安全壁壘會不斷被加固。

從人為因素出發,項目方需要考慮金融模型以及商業邏輯是否值得推敲,并進行不計其數的測試才能消弭潛在的風險。

總而言之,Defi協議乃至整個區塊鏈安全問題是主流資金無法進入行業的主要因素。環顧Defi出事的所有原因,最主要的還是Defi項目還無法完全去中心化,需要借助第三方的外部服務。Defi行業在安全性上達到無懈可擊,是這一賽道項目必需實現的目標,期待行業下一周期跑出擁有全新業務邏輯的Defi產品來!

Tags:DEFEFIDEFI區塊鏈Deflect ProtocolNINEFIdefibox幣有價值嗎藝術幣區塊鏈

火必
CHA:aelf元宇宙黑客馬拉松Top of OASIS 正式開啟,獎金累計高達68萬美金

2021年12月12日,aelf聯合DoraHacks正式開啟元宇宙黑客馬拉松TopofOASIS面向全球招募優秀開發者.

1900/1/1 0:00:00
LOC:科普 | 智能合約安全審計入門篇 —— 溢出漏洞

By:小白@慢霧安全團隊 背景概述 上周寫了智能合約安全審計入門篇——重入漏洞,這次我們接著來說一個同樣很經典的漏洞——?溢出漏洞.

1900/1/1 0:00:00
SHI:韓國關于“推遲加密稅收”的稅法修正案未能達成協議,將于11月26日再次討論

據Forkast11月25日消息,韓國國會策略及金融委員會下屬的稅務小組委員會討論了所得稅法修正案,包括推遲虛擬資產所得稅,但未能達成協議,因為出席會議的政府官員仍持反對意見.

1900/1/1 0:00:00
數字貨幣:央行數研所副所長:區塊鏈助力數字金融高質量發展,可從核心技術等八方面破局

據中國證券網消息,中國人民銀行數字貨幣研究所副所長狄剛今日在國際金融論壇第18屆全球年會上表示,雖然區塊鏈技術在全球數字金融領域已經拓展了很多應用場景.

1900/1/1 0:00:00
ROLL:ZK Rollup擴容方案StarkNet Alpha上線以太坊主網

巴比特訊,11月29日,StarkWare宣布推出的以太坊Rollup擴容方案StarkNetAlpha已上線以太坊主網。開發者可以在StarkNet上部署他們的合約.

1900/1/1 0:00:00
MES:Messari創始人Ryan Selkis:Web3 部分為風險機構(VC)/流動性提供者(LP) 所有

巴比特訊,12月21日,研究機構Messari創始人RyanSelkis在推特上表示,Web3部分為風險機構/流動性提供者所有,部分為散戶所有。比特幣也是如此。還有推特同樣如此.

1900/1/1 0:00:00
ads