PeckShield：八月共發生安全事件28起，DeFi市場成重災區

閱讀本文需 18 分鐘

DeFi 8 起、錢包安全 2 起，公鏈安全 6 起，交易所相關 1 起，勒索相關 4 起，詐騙跑路 7 起

原文來源：PeckShield

原文作者：PeckShield

據 PeckShield 態勢感知平臺數據顯示，過去一個月，整個區塊鏈生態共發生 28 起較爲突出的安全事件，危害程度評級爲「中級」，涉及 DeFi 8 起、錢包安全 2 起，公鏈安全 6 起，交易所相關 1 起，勒索相關 4 起，詐騙跑路 7 起等。

DeFi 安全

8 月份共發生 8 起 DeFi 相關安全事件，具體如下：

1）DeFi 項目 Yam Finance（YAM）發佈推文稱，在 Rebase 合約時發現一個 bug。初始重新設置之後的 Rebase 將產生比預期更多的 YAM。具體參看 PeckShield 安全團隊跟進分析的技術解讀文章《回天乏術，一開始就註定失敗的 YAM 投票拯救行動！》

2）DeFi 項目 YFValue（YFV）發佈公告稱，團隊於昨日在 YFV 質押池中發現一個漏洞，惡意參與者藉此漏洞對質押中的 YFV 計時器單獨重置。

3）08 月 05 日，DeFi 期權平臺 Opyn 的看跌期權（Opyn ETH Put）智能合約遭到黑客攻擊，損失約 37 萬美元。攻擊者發現 Opyn 智能合約行權（exercise）接口對接收到的 ETH 存在某些處理缺陷，其合約並沒有對交易者的實時交易額進行檢驗，使得攻擊者可以在一筆對自己發起真實的交易之後，再插入一筆僞裝交易騙得賣方所抵押的數字資產，進而實現空手套白狼。具體參看《PeckShield：DeFi 平臺 Opyn 智能合約漏洞詳解——攻擊者空手套白狼！》

4）YFII 的硬分叉項目 YYFI 已在 8 月 1 日凌晨徹底成爲了「退出騙局」，從一開始這個項目似乎就打定了注意爲自己的跑路做好了準備。

5）推特上有網友爆料稱 DeFi 流動性挖礦項目 Degen.Money 通過兩次授權獲取用戶資金。第一次授權給了質押合約，第二次授權給了轉賬權，會導致用戶資金被攻擊者拿走。

6）新興的自動做市商平臺 SushiSwap，被曝智能合約中存在多個安全漏洞。該漏洞可能會被智能合約擁有者利用，允許擁有者進行包括將智能合約賬戶內的代幣在沒有授權的情況下取空等操作在內的任意操作。同時該項目智能合約還存在嚴重的重入攻擊漏洞，會導致潛在攻擊者的惡意代碼被執行多次。

7）DeFi 流動性耕種匿名項目 BASED 官方宣佈將重新部署質押池，官方發佈推特稱，有黑客試圖將「Pool1」永久凍結，但嘗試失敗。而「Pool1」將繼續按計劃進行。

8）兩個小型代幣項目——NUGS 和 NEXE——在上線 Uniswap 不久後疑似已進行了「跑路詐騙」。NUGS 項目將這一舉動歸咎於「智能合約漏洞」，在其官方電報頻道，NUGS 表示其智能合同現已「無法修復」。另一個項目 NEXE 疑似也已跑路，該項目的社交媒體賬號已被刪除。

PeckShield 點評：隨着 DeFi 項目功能越來越多樣，其中隱藏的安全問題也逐漸暴露出來，鑑於其與用戶資產的緊密聯繫，DeFi 項目的安全問題非常嚴峻。由於各項目由不同團隊開發，對各自產品的設計與實現理解有限，集成的產品很可能在與第三方平臺交互的過程中出現安全問題，進而腹背受敵。PeckShield 在此建議，DeFi 項目方在上線之前，應當儘可能尋找對 DeFi 各環節產品設計有深入研究的團隊做一次完整的安全審計，以避免潛在存在的安全隱患。

數字錢包安全

8 月份共發生 2 起錢包安全事件：

1）一 GitHub 用戶表示其比特幣鉅額款項被黑客盜取。據悉，該用戶使用的是比特幣錢包 Electrum 軟件，上次訪問是在 2017 年。此後 Electrum 已經發布了安全更新，但該用戶一直沒有安裝，因此他這回轉移比特幣之前，被提示更新和修補潛在問題。但當他根據提示操作的時候，該軟件利用一個漏洞連接了黑客的服務器，1400 枚 BTC（價值 1600 萬美元）隨即從他的錢包中被取出，存入了黑客的錢包中。

2）8 月 30 日消息，加密錢包提供商 Ledger 最近出現了數據庫泄露以及錢包漏洞，使用戶的比特幣面臨風險。Ledger 首席技術官 Charles Guillemet 對此表示，就數據庫泄露而言，攻擊者通過第三方在我們網站上配置錯誤的 API 密鑰訪問了我們的電子商務和營銷數據庫的一部分，允許未經授權訪問我們客戶的聯繫方式和訂單數據。Ledger 在同一天修復了這個問題，並禁用了 API 密鑰。

PeckShield 點評：數字錢包作爲管理私鑰的工具，是離加密資產最近的地方。雖然冷錢包是一種脫離網絡連接的離線錢包，但也存在被物理攻擊和被盜的風險，而像網頁錢包等熱錢包，用戶也要謹防網絡釣魚，惡意代碼注入等攻擊方式。

公鏈安全

8 月份共發生 6 起公鏈相關安全事件：

1）8 月 4 日早間，Adamant Capital 創始人 Tuur Demeester 發推稱，今日比特幣全節點可能正在遭受連接槽耗盡攻擊。而根據 Tuur Demeester 所轉發的 Blockstream 副總裁 Warren Togami 發佈的消息，其監測的幾個比特幣全節點，所有轉入的連接插槽都滿了。Warren Togami 表示，當公共傳入連接槽耗盡時，來自本地主機的傳入連接將停止。

2）根據北京大學、北京郵電大學、浙江大學和昆士蘭大學的研究人員的一項新研究，以太坊區塊鏈上價值超過 10 億美元的代幣缺少 2017 年發佈的一項軟件標準，使這些代幣容易被劫持並從交易所流失。該軟件漏洞被稱爲假冒存款（fake deposit）漏洞，已在 7772 個 ERC-20 代幣發行商處被發現。該研究表明，通過操縱使用了不足的交易驗證方法的 ERC-20 代幣智能合約中的代碼，黑客幾乎可以無成本騙取大量資金。假冒的存款攻擊隨後可能會使交易所崩潰，導致 ERC-20 代幣和其他加密貨幣持有人損失其資金。

3）OpenEthereum 中的一個更新使運行在新版本上的節點基本上無用，這個 bug 似乎是在 OpenEthereum 的 2.7.2 版本中引入的。OpenEthereum 決定簡單地廢棄 2.7 版本，因爲此版本及其 bug 非常難修復。最新的 2.5.13 穩定版迭代定於 9 月中旬在 Berlin 硬分叉之前發佈。但是，在此之前，下載新版本的運營商將面臨極具破壞性的降級任務。基礎架構開發商 BlockNative 的開發商 Liam Aharon 在 Twitter 上強調，降級需要完全重新同步區塊鏈，「對於某些節點配置，這將需要數月的時間。」該漏洞影響了當前 Parity 大約 50％的節點，根據 Ethernodes 的數據，該節點總計佔整個網絡的 12％。OpenEthereum 團隊正在研究一種轉換過程，該過程將幫助節點避免昂貴的重新同步。

4）Bitfly（Ethermine 礦池母公司）發推稱，今天，ETC 區塊鏈在區塊高度 10904146 經歷了一次 3693 個區塊的鏈重組。這導致所有狀態修建節點停止同步。這可能是 51% 攻擊造成的，而後官方尋求所有交易所立即停止存取款，並調查所有最近發生的交易。

5）8 月 30 日，Bitfly（Ethermine 礦池母公司）官方發推稱，今日 ETC 又遭遇了一次大規模 51% 攻擊，導致 7000 多個區塊發生重組，相當於大約 2 天的開採時間。所有丟失的區塊將從未到期的餘額中移除，其將檢查所有支出以查找丟失的交易。

6）8 月 25 日, Filecoin 太空競賽開啓, CDSI 聯盟節點"t02398"便遭受大量惡意非法攻擊，攻擊者通過已過濾白名單發送大量 message 堵塞節點，消耗 Lotus 節點大量運算使得節點不能正常完成任務最終導致丟掉算力。

PeckShield 點評：公鏈上的漏洞，一旦發現對整個鏈生態的影響極大，因此公鏈在正式版上線前務必做好安全測試和漏洞排查，並尋求第三方安全公司審計，避免因漏洞威脅影響公鏈生態。

交易所相關

8 月份共發生 1 起交易所相關安全事件：

1）韓國第三大數字貨幣交易所 Coinbit 被韓國警方查封調查，其董事長以及運營方涉嫌交易所內部交易和操縱市場價格。據悉，Coinbit 排在 Bithumb 和 Upbit 之後，爲韓國第三大交易所。警方稱該公司涉嫌利用非法手段賺取了至少 1000 億韓元的非法利益（約 8500 萬美元），Coinbit 同時涉嫌僞造了其超過 99％交易量。

PeckShield 點評：黑客盜取資產後實施洗錢，不管過程多周密複雜，一般都會把交易所作爲套現通道的一部分。這無疑對各大數字資產交易所的 KYC 和 KYT 業務均提升了要求，交易所應加強 AML 反洗錢和資金合規化方向的審查工作。詳情可訪問 www.coinholmes.com 瞭解。

勒索相關

8 月份共發生 4 起勒索相關安全事件：

1）過去幾周，一個犯罪團伙對全球一些最大的金融服務提供商發起了 DDoS 攻擊，並索要比特幣贖金。據悉，該組織使用了像 Armada Collective 和 Fancy Bear 這樣的名字——這兩個名字都是借鑑了知名黑客組織——給公司發郵件，威脅將進行 DDoS 攻擊並索要比特幣贖金。

2）勒索軟件犯罪團伙 REvil（也被稱爲 Sodinokibi），聲稱已成功襲擊了美國葡萄酒和烈酒巨頭 Brown-Forman Corp，黑客在其暗網官方博客以大約 150 萬美元的價格出售被盜數據。不過，Brown-Forman Corp 在一份聲明中表示，他們已經成功地阻止了該網絡犯罪團伙加密文件。

3）奧地利警方正在調查炸彈威脅勒索激增的情況，此前有多家公司週二早上收到了勒索比特幣的電子郵件。郵件內容顯示，如果不在未來 80 小時內支付價值 2 萬美元的比特幣，他們將引爆炸藥。奧地利媒體稱，電子郵件中還包含有關如何購買比特幣的說明。

4）特斯拉通過與美國聯邦調查局（FBI）展開合作，成功破獲一起計劃中的勒索軟件攻擊。據悉，該起攻擊的目標是特斯拉位於內華達州的一處工廠，攻擊者要求特斯拉支付價值數百萬美元的比特幣。

PeckShield 點評：勒索類安全事件一直是影響整個互聯網生態的重大隱患，不侷限於區塊鏈生態。而且在區塊鏈領域的加密貨幣逐漸普及後，不法分子常利用比特幣等加密貨幣的較好匿名性進行勒索詐騙。

其他詐騙跑路等事件

除上述之外，8 月份還發生了多起詐騙跑路事件值得警惕，例如：

1）蘭州市公安局安寧分局近日成功打掉了一個利用虛假理財平臺實施電信網絡詐騙犯罪的犯罪團伙，共抓獲犯罪嫌疑人 41 人，凍結涉案贓款 27 萬餘元、查扣寶馬汽車 2 輛以及用於作案的手機、電腦等工具 100 餘臺（部）。

2）8 月 20 日，從江蘇省蘇州市公安局獲悉，在「淨網 2020」專項行動中，該市破獲一起針對虛擬貨幣的黑客犯罪案件，抓獲多名犯罪嫌疑人。嫌疑人專門利用黑客手段盜取賬戶密碼、竊取虛擬貨幣，並通過暗網聯繫職業洗錢銷贓團伙變現，涉案金額達 3000 餘萬元。

3）以色列網絡安全公司 Mitiga 建議運行某些程序的亞馬遜網絡服務（Amazon Web Services）的所有客戶檢查自己是否受到了門羅幣挖礦軟件的惡意感染。在今天的一份報告中，Migita 稱任何運行基於 Community AMIs（Amazon Machine Images）的 EC2 實例的用戶都容易受到該加密挖礦軟件的攻擊。據悉，Migita 是在檢查一家金融機

4）騰訊安全威脅情報中心檢測到大量源自境外 IP 及部分國內 IP 針對國內雲服務器租戶的攻擊。攻擊者通過 SSH（22 端口）爆破登陸服務器，然後執行惡意命令下載 Muhstik 僵屍網絡木馬。該僵屍網絡會控制失陷服務器執行 SSH 橫向移動、下載門羅幣挖礦木馬和接受遠程指令發起 DDoS 攻擊。

5）西班牙加密貨幣支付應用和信用卡發行商 2gether 承認，上週五（7 月 31 日）黑客盜取 140 萬美元，公司無法立即償還受攻擊影響的用戶，並提出一個折衷方案。2gether 一直在努力尋找資金，但是與一家投資集團的談判失敗，未能找到資金向所有用戶償還被盜資金。

6）8 月 15 日消息，中國香港警方逮捕了三名男子，他們涉嫌從比特幣 ATM 機中騙取近 23 萬港元 (合 3 萬美元)，這是香港首例此類案件。在兩家加密貨幣交易所提交報告後，警方在過去兩天採取了行動。這些交易所懷疑犯罪分子利用了自動取款機的「漏洞」，在沒有得到官方授權的情況下提取現金。

7）近期，廣州白雲警方在深入開展颶風 2020 專項行動過程中，發現並打掉了一個藉助「跑分」平臺進行數字貨幣交易，從而爲電信詐騙「洗錢」的團伙，抓獲涉案嫌疑人 9 人，繳獲作案手機、銀行卡等涉案物品一批。

PeckShield 點評：因用戶安全意識欠缺且操作規範性造成的各類安全隱患一直層出不窮，釣魚攻擊、詐騙等各類事件就是典型。在此提醒，用戶應謹慎保管各類私密信息，任何小的疏忽都可能造成不可挽回的損失。