盘点加密行业近两年前20大黑客攻击案,你中招过几起?

链捕手 阅读 937 2022-04-01 19:01:18

整理:饼干,链捕手

3月底,著名链游Axie Infinity旗下侧链网络Ronin Network在黑客攻击事件中损失约6.2亿美元资产,成为迄今为止最严重的一次DeFi黑客攻击,进一步加深了公众对加密世界安全性的担忧。

近两年来,巨额资金持续流入加密行业,但其安全性仍然是非常脆弱,来自中心化交易所和DeFi项目的诸多代码漏洞屡屡遭到黑客的攻击,各类安全事故的数量、频次、规模等层面均在迅速增长。

据慢雾统计,2021年区块链安全事件累计导致损失超98亿美元,涉及231起安全事故,尽管相当部分的损失被追回或由项目方进行补偿,但仍然令加密行业受伤颇深。

根据专业加密安全网站rekt数据以及其它公开资料,链捕手按照黑客攻击中受影响金额的大小盘点前20的黑客攻击事件。(截止至2022年4月前)

1、 Ronin Network,6.24 亿美元

2022年3月29日,Ronin官方称其跨链桥遭到黑客攻击,173,600个ETH 和 2550 万 USDC 被盗,累计价值约 6.2 亿美元。

官方表示,该项目被盗原因系五个验证者私钥被盗。去年 11 月 Sky Mavis 和 Axie DAO 以减轻用户成本的初衷建立了一个无Gas RPC 节点,这需要 Axie DAO 成为 Sky Mavis 验证者,虽然该RPC节点只持续了一个月,但白名单访问权限从未被撤销,从而攻击者有机会盗取 Axie DAO签名,集齐5个验证者共识换成私钥来伪造假提款。

目前,Axie Infinity 联合创始人 Aleksander L. Larsen 已在推特上发文表示,Axie Infinity 团队正在努力与黑客沟通挽回损失,以确定最佳补偿方案。

2、Poly Network,6.11 亿美元

2021年8月10日,跨链互操作性协议Poly Network在以太坊、BSC与Polygon部署的智能合约同时遭到黑客攻击,价值超过6.1亿美元资产被盗。

据慢雾团队分析称,攻击者利用特定函数传入精心构造的数据来修改EthCrossChainData合约的keeper,替换keeper角色的地址后,便可以随意构造交易,从合约中提取任意数量的资金。

经过多方与黑客的链上沟通,黑客最终向项目方归还了所有盗取的资产,所有用户都没有产生实际损失。

3、Wormhole,3.26 亿美元

今年2月3日,跨链协议 Wormhole 遭黑客攻击,官方确认本次攻击事件中损失达 12 万枚 ETH(约合 3.26 亿美元)。

根据调查,此次事件的漏洞是 Solana 端核心 Wormhole 合约的签名验证代码存在错误,允许攻击者伪造来自「监护人」的消息来铸造whETH。攻击者通过在 Solana 上无限铸造的 whETH (Wormhole ETH)等价物,再通过Wormhole 转移120,000真实的 ETH 到以太坊上。

事件发生后,黑客并未回复项目方的沟通,Wormhole 母公司 Jump Trading 旗下 Jump Crypto 迅速决定“自掏腰包”向该跨链桥智能合约补充了 12 万枚 ETH,帮助 Wormhole 桥重新上线。

4、BitMart,1.96 亿美元

2021年12月5日,加密交易平台 BitMart 的以太坊和 BSC 热钱包被盗约 1.96 亿美元,其中在以太坊上总计约 1 亿美元,在 BSC 上总计约 9600 万美元。

据了解,攻击者将 BitMart 资金从热钱包转移到自己钱包,并把大部分币种通过 1inch 交易为 ETH 和 BNB,然后通过 TornadoCash 进行混币,最终逍遥法外。部分资产则通过与项目方合作得以追回。

此后,BitMart 创始人 Sheldon Xia 宣布将使用平台的资金来补偿受影响的用户,并很快开放存取款。

5、Vulcan Forged,1.4 亿美元

2021年12月13日,链游项目Vulcan Forged称148个持有PYR的钱包遭到入侵,超过450万PYR已被盗,损失总价值超 1.4亿美元。事后,项目团队决定将金库中的PYR用户补偿受影响的用户钱包。

6、Cream Finance,1.3 亿美元

2021年10月27日,抵押借贷平台 Cream Finance 遭受闪电贷攻击,损失约 1.3 亿美元。

据了解,此次攻击混合了经济攻击和预言机攻击,攻击者从 MakerDAO 闪电贷出 DAI 来创建大量 yUSD 代币,同时通过操纵多资产流动性池,利用价格预言机计算 yUSD 价格,yUSD 价格升高后,攻击者的 yUSD 头寸增加,创造了足够的借入限额来抵消 Cream 以太坊 v1 市场的流动性。

11月13日,Cream Financ公布了对受影响用户的赔偿方案,将利用其金库的剩余代币,并移除项目团队剩余的全部Cream代币分配,向受影响用户发放1453415枚Cream代币。

7、Badger 1.2 亿美元

2021年12月2日,Badger 用户界面被黑客攻击并植入恶意钱包请求,总损失约为 2100 BTC 和 151 ETH,约合1.2亿美元。

此次事件属于网络钓鱼攻击,由运行在Badger云网络上的应用平台Cloudflare的“恶意注入片段”引起的。黑客利用Badger工程师不知情或未授权情况下创建的受损API密钥,定期注入恶意代码,获取到用户钱包无限授权的批注。

事后,Badger宣布聘请网络安全公司Mandiant和区块链分析公司Chainalysis来调查这一攻击事件,并正在与两家公司以及美国和加拿大的当局合作,以追回任何可能的资金。同时,该项目通过社区投票,决定将部分金库资产以及部分协议收入在补偿受影响的用户,周期约为一年。

8、Qubit Finance,8000 万美元

2022年1月28日,BSC借贷项目Qubit疑似遭到黑客攻击,黑客铸造大量xETH抵押品并盗取了资金池中约8000万美元资产。

本次攻击的主要原因在于在充值普通代币与 native 代币分开实现的情况下,在对白名单内的代币进行转账操作时未对其是否是 0 地址再次进行检查,导致本该通过 native 充值函数进行充值的操作却能顺利走通普通代币充值逻辑。

Team Mound 是 Qubit Finance 的开发团队,在攻击事件发生后决定重组并发布补偿计划,将放弃其所有代币以补偿社区。

9、AscendEX,7700 万美元

2021年12月12日,加密货币交易所 AscendEX 的以太坊、BSC与Polygon热钱包累计被盗或超7700万美元的资产。

事件发生后,该交易所表示将进行全面的安全检查,如果任何用户的资金受到此次事件影响,由 AscendEX 进行100%赔付。

10、EasyFi,5900 万美元

2021年4月20日,Layer 2 DeFi 借贷协议 EasyFi 创始人 Ankitt Gaur 称协议流动池被转移了 600 万美元的稳定币和 298 万个 EASY 代币,总损失约5900万美元。

据了解,该项目被盗原因为管理员的 MetaMask 的助记词短语密钥遭到远程攻击,EasyFi 智能合约未被黑客攻击。EasyFi 已联系到 Binance 和 AscendEx 团队,黑客并未将代币从钱包中转移出去,并且由于流动性限制而无法在 DEX 中出售。

事后,该项目表示将按快照补偿每个地址的贷方/存款人净余额的100%,用户将分两部分获得资金,预先支付25%,剩余75%以EZ支付,由EASY V2代币EZ按1:1比例担保。

11、Uranium Finance,5700 万美元

2021年4月28日,币安智能链上 AMM 协议 Uranium Finance 发推称Uranium 迁移过程中被攻击,损失金额约为 5700 万美元。

据了解,此次问题发生在 Uranium 项目的 pair 合约上,该合约的 swap 函数部分逻辑参考了 PancakeSwap 的逻辑,允许用户进行闪电贷借出资金。但是该函数在根据恒定乘积公式检查合约余额时,存在精度处理错误的问题,导致最后合约中计算出的余额比合约实际的余额大 100 倍,这种情况下,如果攻击者使用闪电贷进行借款,只需要归还借贷金额的 1% 即可通过检查,盗走剩余的 99% 的余额,导致项目损失。

事后 Uranium Finance 发表一篇漏洞分析文章并呼吁用户尽快移走资金,不要再向合约中提供流动性。自此之后,Uranium Finance 的官方再无更新,疑似已停止运营。

12、bZx,5500 万美元

2021年11月6日,去中心化借贷协议 bZx 在 Polygon 和 BSC 链上因私钥泄露导致超 5500 万美元资产被盗。

据了解,此次事故不是针对协议本身漏洞的黑客攻击,而是对 bZx 开发者的网络钓鱼攻击,开发人员收到了一封网络钓鱼电子邮件,其中附有包含恶意宏的 Word 文档。打开此文档会导致开发人员的个人钱包密钥被盗。黑客能够控制合约并将其从BZRX中提取出来。

13、Cashio ,4800 万美元

2022年3月23日,Solana 生态算法稳定币 Cashio 发推警示用户不要铸造任何代币,尽快从池中提取资金。该协议出现一个无限铸造漏洞,损失约4800万美元。

Cashio Dollar 是一种由 USDT-USDC LP 代币支持的算法稳定币,黑客通过绕过一个未被验证的账号,非法增发了20亿个CASH代币,并通过多个应用将CASH代币转化为 UST、 USDC 和 USDT-USDC LP,获利总价值约为4800万美元。

项目方在遭遇黑客攻击之后表示没有足够的资金偿还用户损失,如果攻击者退还资金,愿意提供 100 万 USDC 作为赏金。而攻击者通过链上留言表示,将向10万美元损失以下的受害者退款。

14、PancakeBunny,4600 万美元

2021年5月20日,币安智能链BSC上的收益聚合器 PancakeBunny 疑似遭遇攻击,损失约4600万美元。

这是一次典型的闪电贷攻击,关键点是 WBNB-BUNNY LP 的价格计算存在缺陷,而 BunnyMinterV2 合约铸造的 BUNNY 数量依赖于此存在缺陷的 LP 价格计算方式,最终导致攻击者利用闪电贷操控了 WBNB-BUNNY 池子从而拉高了 LP 的价格,使得 BunnyMinterV2 合约铸造了大量的 BUNNY 代币给攻击者。

PancakeBunny团队在遭受闪电贷攻击后发布评估和补偿计划,将通过发行新代币pBUNNY并创建补偿池,补偿池由绩效费(团队直接贡献),从漏洞利用中收回的资金以及QFI代币空投提供资金。90天后,原始持有者将以低于市场价的折扣用pBUNNY交换为BUNNY。

15、Kucoin,4500 万美元

2020年9月20日,Kucoin 热钱包受到攻击,损失超 2.8 亿美元。

此后,Kucoin CEO Johnny Lyu 表示,通过与交易所和项目方合作追回 2.22 亿美元资金(占 78%),与执法和安全机构进一步合作追回 1745 万美元(占 6%)。最后 KuCoin 用保险基金支付了剩余的资金损失,约 4500 万美元( 16%),在这次事件中没有用户遭受损失。

16、Secretswap ,超4000 万美元

2021年9月14日,基于隐私公链Secret Network的DEX项目Secretswap遭到黑客攻击,流动性池中超4000万美元资金被黑客取出,事件发生后该项目暂停了Secretswap与Secret Network跨链桥的使用,以防止黑客将资产从跨链桥转移至以太坊网络。

事后调查显示,该漏洞涉及与SecretSwap奖励质押相关的单一LP合约,没有被盗的资金离开网络,没有桥梁/代币合约被攻击,网络本身也没有被攻击。

数天后,Secret Network通过硬分叉回滚网络,将被盗资产返还至用户的流动性资金池,并恢复跨链桥的使用。

17、Alpha Finance,3700 万美元

2021年2月13日,Alpha Finance Lab在官方推特称黑客利用 Alpha Homora V2漏洞,从Iron Bank(Cream V2)借出ETH、DAI、USDC等资产,导致 Alpha Homora v2 与 Cream v2 之间产生债务关系,损失约3700万美元。

Alpha团队的还款方式为:将攻击者存入 Alpha Homora V2 部署器合约的 1000 ETH 支付欠款;将攻击者存入 Cream V2 部署器合约中的 1000 ETH 支付欠款;Tornado Cash 基金会将会把攻击者支付的 100 ETH 捐款还给 Alpha Homora 以支付欠款;Alpha 将承诺使用 Alpha Homora V1 和 V2 储备金的 20% 偿还剩余的资金,按月向 Cream V2 Iron Bank 支付,直至新增债务全部还清。

18、Vee Finance3700 万美元

2021年9月21日,雪崩生态借贷平台Vee Finance智能合约被攻击,损失约3700万美元。

据了解,导致该漏洞的主要原因是用户在创建杠杆交易订单的过程中,预言机仅使用Pangolin pool 的价格作为价格馈送源,而该池价格波动超过3%。预言机会刷新价格,导致攻击者操纵了Pangolin pool的价格。而操纵Vee Finance预言机价格和收购预言机价格没有进行小数处理,导致掉期前预期的滑点检查没有起作用。

此后,Vee.Finance宣布悬赏50万美元追查攻击者,并将承担全部损失,用平台收入以及储备中的VEE代币补偿所有贷方和存款用户,在全部偿还之前团队代币将不再释放。

19、Crypto.com3300 万美元

2022年1月18日,加密货币交易所 Crypto.com 的部分账户疑似遭遇黑客攻击,损失约3300万美元。

据了解,黑客通过绕过现有的2FA验证,成为提现白名单,其中共有483个账户被破解,被盗取4836枚ETH和444枚比特币,ETH 被发送到 Tornado Cash进行混币。

事件发生后,Crypto.com 表示已经赔偿所有用户的损失,将账户内的资产恢复原位。

20、MonoX Finance3100 万美元

2021年11月30日,自动做市商协议 MonoX 遭到闪电贷攻击,以太坊和 Polygon 上价值约3100 万美元的加密货币被黑客盗走。

据了解,攻击者利用掉期合约进行操作,将 MONO 的价格推高至天价后使用 MONO 购买池中所有其他资产。

此后,该项目团队表示将为所有被盗资产发行债务代币dMONO并部署dMONO保险库,将使用我们的收入回购MONO并将MONO发送到这个金库,任何dMONO持有者都可以随时通过销毁他们的dMONO来并获取MONO来退出金库,但如果用户选择在dMONO达到所欠价值之前提取它,则意味着正在免除剩余的债务。

进一步统计可以发现,尽管这些安全事件的累计损失金额达到数十亿美元,但多数被盗项目的用户损失得到全额赔付,其中 Poly Network、Secretswap 的被盗资产全部找回,Wormhole等8个项目由项目方进行了原币赔付,其余项目多数由项目以自身代币的形式进行赔付,但往往会由于代币价格下跌,实际赔付金额低于损失金额,仅 Uranium Finance 未对用户进行任何赔付。

由此可以看出,黑客攻击并没有想象中那么可怕,重要的是项目方资源背景以及对用户的责任感,加密用户在对任何资金操作保持谨慎的同时,尽可能优先参与具有较强实力的项目与平台,在自身承受范围内进行相关投资与挖矿行为,以确保资金安全度。

免责声明:
1.资讯内容不构成投资建议,投资者应独立决策并自行承担风险
2.本文版权归属原作所有,仅代表作者本人观点,不代表本站的观点或立场
上一篇:解析StepN:突然爆火的原因、经济模型与未来发展方向 下一篇:被社区Fomo的CULT.DAO是什么来头?

您可能感兴趣

  • 解读CKB版 “闪电网络” Fiber Network:比特币可编程性扩展的另一种思路
    解读CKB版 “闪电网络” Fiber Network:比特币可编程性扩展的另一种思路

    作者:NingNing行业周期与宏观金融周期共振,加密行业正处在与 2019 年相似的整体性迷茫之中,现阶段不仅流动性枯竭,叙事貌似也在枯竭。市场不但对 VC 叙事兴趣阙如,对反 VC 的 Meme 叙事也已经疲倦。就像每次哲学危机,人们都会回归柏拉图寻找出路,当加密行业危机时,我们也需要回归比特币、回归中本聪。正如 CKB 生态 RGB++ 协议创始人 Cipher 在最新 Blog 里所阐述的,加密行业需要对以太坊 “链上计算” 的路径依赖进行反思,回归P2P经济学,让计算归于链下,让验证归于链上。因

    每日资讯 2024-09-02 12:06 1520
  • 面对NFL球员工会起诉,“退圈”的DraftKings竟主动承认NFT是证券?
    面对NFL球员工会起诉,“退圈”的DraftKings竟主动承认NFT是证券?

    作者:Zen,PANews近日,美国国家橄榄球联盟球员协会 (NFLPA) 指控数字体育娱乐和游戏公司DraftKings 逃避了其 NFT 球员许可协议的付款义务。在放弃NFT业务后,涉嫌出售未注册证券而遭到集体诉讼的DraftKings又背上了一起官司。而有趣的是,在与NFLPA的纠纷中,DraftKings的立场似乎已从反驳转变为积极承认“NFT就是证券”。放弃NFT业务:驳回集体诉讼的动议遭到否决今年7月底,Draftkings在给用户的电子邮件中表示:“经过慎重考虑,DraftKings 决定终

    每日资讯 2024-09-02 12:06 1605
  • 简析两种最新比特币智能合约实现方案:OP_NET与Arch有何区别?
    简析两种最新比特币智能合约实现方案:OP_NET与Arch有何区别?

    作者:Cookie过去半个月,OP_NET 与 Arch 这两个比特币主网上的智能合约实现方案引发了较多的讨论。有意思的事情是,OP_NET 这个名字与大家熟悉的 OP_CAT 很像,都以「OP_」开头,具有很强的、让大家认为这哥俩差不多的迷惑性。所以,在开篇要和大家先提一嘴 OP_CAT。首先,OP_CAT 是比特币操作码,从去年开始有以「量子猫」Quantum Cats,也就是「大巫师」Taproot Wizards 的创始人 Udi Wertheimer 为首的社区力量一直在呼喊要「复活」OP_CA

    每日资讯 2024-09-02 12:06 1525
  • 争议不断,以太坊正在失去“万链之王”的权威
    争议不断,以太坊正在失去“万链之王”的权威

    作者:Climber,金色财经近期围绕以太坊的话题和争议越来越多,不仅 Vitalik 本人需要下场解释观点,就连以太坊基金会也要发布公告来平息社区的质疑声。在本轮牛市周期中,以太坊的表现可谓平平。而美国以太坊现货 ETF 的通过也并未让 ETH 走势如投资者期待般爆发,相反却在币价方面越走越低。这就不免让有着「万链之王」美誉的以太坊逐渐失去投资者和社区的尊重,进而质疑起有关以太坊的方方面面。争议不断,以太坊亟需重塑权威最近一段时间以来社区成员对 Vitalik 言论观点、以太坊基金会乃至以太坊生态系统的

    每日资讯 2024-09-02 12:06 1245
  • 从《黑神话:悟空》谈起,GameFi何时能取得真经?
    从《黑神话:悟空》谈起,GameFi何时能取得真经?

    作者:YBB Capital Researcher Zeke前言本文是市场垃圾时间中的一些闲聊,需要对传统游戏市场有一定程度了解。大家可以把这篇文章当作日记或者随想观看,这些只是我在游玩《黑神话:悟空》之后对GameFi的一些粗浅思考,以及对这个赛道未来的看法。一、游戏科学的九九八十一难三天全网销量破千万、Steam玩家同时在线峰值破235万、多家品牌联名周边销售爆火、国家级媒体多次采访、多个游戏取景地可凭游戏通关记录终身免费进入、86版《西游记》YouTube观看量超400万。以上,是《黑神话:悟空》上

    每日资讯 2024-09-02 12:06 902
  • Gavin Wood:如何防止女巫攻击进行有效空投?
    Gavin Wood:如何防止女巫攻击进行有效空投?

    演讲:Gavin WoodGavin 近期一直在关注的女巫攻击(civil resistance)的问题,PolkaWorld 回顾了 Gavin Wood 博士在 Polkadot Decoded 2024 上的主题演讲,想要探究 Gavin 在如何防止女巫攻击上的一些见解。什么是女巫攻击?你们可能知道,我一直在研究一些项目,我在编写灰皮书,专注于 JAM 项目,也在这个方向上做了一些代码的工作。实际上,在过去的两年时间里,我一直在思考一个非常关键的问题,这个问题在这个领域中非常重要,那就是如何防止女巫

    每日资讯 2024-09-02 12:06 1470
  • 市场热议,链抽象将成加密新叙事?
    市场热议,链抽象将成加密新叙事?

    2024年,加密货币领域的技术创新持续加速,链抽象(Chain Abstraction)逐渐成为行业内的焦点。链抽象技术的核心在于通过隐藏底层技术的复杂性,让用户能够更加便捷地在多个区块链之间进行操作。传统的区块链技术通常要求用户掌握不同链的操作流程,并需要应对跨链操作中的技术难题,这极大地吸引了新用户的进入。而链抽象的出现,则为这些问题提供了有效的解决方案,成为Web3建设不可忽视的重要一环。01、什么是链抽象及其作用链抽象能够将不同的区块链之间的差异整合在一个统一的操作界面中,使得用户只需一个账户即可

    每日资讯 2024-09-02 12:05 762
  • 今日日报|马斯克和特斯拉赢得“被指控操纵狗狗币”的诉讼;稳定币支付平台Bridge完成5800万美元融资
    今日日报|马斯克和特斯拉赢得“被指控操纵狗狗币”的诉讼;稳定币支付平台Bridge完成5800万美元融资

    今日要闻提示:马斯克和特斯拉赢得驳回指控他们操纵狗狗币的诉讼OpenAI和Anthropic已同意将其主要新AI模型在发布前共享给美国政府OKX将上线Hamster Kombat(HMSTR)现货交易X平台纽约总部将于9月13日关闭,预计将迁往得州萨尔瓦多总统布克尔成为《时代》杂志最新一期封面人物稳定币支付公司Bridge完成5800万美元融资数据:MATIC、SHIB、UNI代币头部地址持仓均超50%网龙今年上半年通过出售2.9亿元的加密货币,获利5100万元人民币监管消息美国众议院计划在9月举行多场加

    每日资讯 2024-09-02 12:05 1255