2024年Web3Blockchain安全態勢年報
前言
本研究報告由Blockchain安全聯盟發起，由聯盟成員Beosin、FootprintAnalytics共同創作，旨在全面探討2024年全球Blockchain安全態勢發展。通過對全球Blockchain安全現狀的分析和評估，報告將揭示當前面臨的安全挑戰和威脅，并提供解決方案和最佳實踐。
通過這份報告，讀者將能夠更全面地了解Web3Blockchain安全態勢的動態演變。這將有助于讀者評估和應對Blockchain領域所面臨的安全挑戰。此外，讀者還可以從報告中獲得有關安全措施和行業發展方向的有益建議，以幫助他們在這一新興領域中做出明智的決策和行動。Blockchain安全和監管是Web3時代發展的關鍵問題。通過深入研究和探討，我們可以更好地理解和應對這些挑戰，推動Blockchain技術的安全性和可持續發展。
1、2024年Web3Blockchain安全態勢綜述
2024年，黑客攻擊、釣魚詐騙金額較2023年均有明顯上升，其中釣魚詐騙相比2023年激增140.66%。項目方RugPull事件的損失金額顯著下降，下降了約61.94%。
2024年DeFi項目攻擊事件75次，是被攻擊次數最多（約50.70%）的項目類型。DeFi攻擊總損失金額約3.90億美元，約占所有損失金額的15.50%，是損失金額第4多的項目類型。
Ethereum、BNBChain、Arbitrum、Others、Base、Solana：
Bitcoin網絡損失排在第2位，單次安全事件損失達到了2.38億美元。第三位的是Arbitrum，總損失約為1.14億美元。
5、攻擊手法分析
2024年的攻擊方式非常多樣化，除常見的合約漏洞攻擊外，還有多種攻擊方式，包括：供應鏈攻擊、第三方服務商攻擊、中間人攻擊、DNS攻擊、前端攻擊等。
6、反*洗*錢典型事件分析6.1 Polter Finance安全事件事件概要
2024年11月17日，據BeosinAlert監控預警發現FTM鏈上借貸協議PolterFinance遭受攻擊，攻擊者通過閃電貸操縱項目合約中Tokens價格進行獲利。漏洞與資金分析
本次事件被攻擊的LendingPool合約(0xd47ae558623638f676c1e38dad71b53054f54273)使用0x6808b5ce79d44e89883c5393b487c4296abb69fe作為預言機，該預言機使用的是近期部署的喂價合約（0x80663edff11e99e8e0b34cb9c3e1ff32e82a80fe）。這個喂價合約使用可被攻擊者用于閃電貸的uniswapV2_pair（0xEc71）合約中的Tokens儲備來計算價格，因此該合約存在價格操縱攻擊漏洞。
攻擊者利用閃電貸虛假推高$BOOTokens價值，借出其它加密資產。隨后，被盜資金被攻擊者轉換成FTMTokens，然后跨鏈到ETH鏈，將所有資金都存放在ETH鏈上。以下是ARB鏈和ETH鏈上的資金流動過程示意圖：
2024年2月23日，知名鏈上偵探ZachXBT通過其分析工具披露，BitForex的熱錢包出現了約5650萬美元的資金流出，并且在這一過程中，平臺暫停了提款服務。資金分析
Beosin安全團隊通過Trace對BitForex事件進行了深入追蹤分析：
Ethereum
Bitforex交易所在2024年2月24日6:11(UTC+8)開始陸續將40,771USDT、258,700USDC、148.01ETH和471,405TRB轉入Ethereum跑路地址（0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f）。
隨后在北京時間8月9日跑路地址將除了TRB以外的Tokens（包括147.9ETH、40,771USDT和258,700USDC）全部轉回Bitforex交易所賬戶（0xcce7300829f49b8f2e4aee6123b12da64662a8b8）。
接著在北京時間11月9日至11月10日跑路地址通過7筆交易將355,000TRB轉入四個不同的OKX交易所用戶地址：
0x274c481bf400c2abfd2b5e648a0056ef34970b0a
0x45798ca76a589647acc21040c50562dcc33cf6bf
0x712d2fd67fe65510c5fad49d5a9181514d94183d
0xe8ec263ad9ee6947bf773837a2c86dff3a737bba
隨后跑路地址地址將剩余全部116,414.93TRB轉入一個中轉地址（0xbb217bd37c6bf76c6d9a50fefc21caa8e2f2e82e）后由該地址分兩筆將全部TRB轉入了兩個不同的幣安交易所用戶：
0x431c916ef45e660dae7cd7184e3226a72fa50c0c
0xe7b1fb77baaa3bba9326af2af3cd5857256519df
Polygon
北京時間2月24日Bitforex交易所提幣99,000MATIC、20,300USDT和1,700USDC至POL鏈地址：0xdcacd7eb6692b816b6957f8898c1c4b63d1fc01f。
其中99000MATIC于8月9日轉入地址0xcce7300829f49b8f2e4aee6123b12da64662a8b8至今沉淀，其余USDT和USDCTokens至今沉淀。
Bitcoin
2月24日開始陸續有16個Bitforex地址將共計5.7BTC轉入BTC鏈地址3DbbF7yxCR7ni94ANrRkfV12rJoxrmo1o2。該地址于8月9日將5.7BTC全部轉回Bitforex交易所地址：11dxPFQ8K9pJefffHE4HUwb2aprzLUqxz。
7、被盜資產的資金流向分析
2024年全年被盜的資金中，約有13.12億美元還保留在黑客地址（包括通過跨鏈轉出和分散到多個地址的情況），占總被盜資金的52.20%。與去年相比，今年黑客更傾向于用多次跨鏈進行*洗*錢，并將被盜資金分散到很多地址上，而非直接使用混幣器。地址增加、*洗*錢路徑變復雜，這無疑為項目方和監管機構增加了調查難度。
42個沒有經過審計的項目中，合約漏洞事件占了30起（約71.43%）。這表明，沒有經過審計的項目更容易存在潛在的安全風險。相比之下，78個經過審計的項目中，合約漏洞事件占了49起（約62.82%）。這顯示出審計在一定程度上能夠提高項目的安全性。
然而，由于Web3市場缺乏完善的規范標準，導致審計質量參差不齊，最終呈現的結果遠未達到預期。為了有效保障資產安全，建議項目在上線之前務必尋找專業的安全公司進行審計。
9、Rug Pull 分析
2024年，BeosinAlert平臺共監測到Web3生態主要RugPull事件68起，總涉及金額約為1.48億美元，較2023年的3.88億美元有大幅下降。
從金額上看，68起RugPull事件中，涉及金額在百萬美元以上的共9個項目，分別為EssenceFinance（2000萬美元），ShidoGlobal（240萬美元），ETHTrustFund（220萬美元），Nexera（180萬美元），GrandBase（170萬美元），SAGAToken（160萬美元），OrdiZK（140萬美元），MangoFarmSOL（129萬美元）和RiskOnBlast（125萬美元），損失金額共3364萬美元，占所有RugPull事件損失金額的22.73%。
Ethereum和BNBChain上的RugPull項目占到了總數量的82.35%，分別為24起和32起，Scroll上發生了1起超過2000萬美元的RugPull。其它公鏈發生過小數量的RugPull事件，包括：Polygon、BASE、Solana等。
10、2024Web3Blockchain安全態勢總結
2024年，鏈上黑客攻擊活動、項目方RugPull事件次數均較2023年有了明顯下降，但損失金額仍在增加，并且釣魚攻擊更加猖獗。損失最高的攻擊手法依然為私鑰泄露。造成這一轉變的主要原因包括：
在去年猖獗的黑客活動之后，今年整個Web3生態更加注重安全性，從項目方到安全公司都在各個方面做出了努力，如實時鏈上監控、更加注重安全審計、從過往合約漏洞利用事件中積極汲取經驗，導致黑客通過合約漏洞盜取資金比去年變得困難。然而，項目方還需在私鑰保管與項目運營安全方面加強安全意識。
隨著加密市場與傳統市場的融合，黑客不再局限于攻擊DeFi、跨鏈橋、交易所等類型，而是轉向攻擊支付平臺、博彩平臺、加密經紀商、基礎設施、密碼管理器、開發工具、MEV機器人、TG機器人等多種目標。
2024-2025年，加密市場進入牛市，鏈上資金活躍，在一定程度上將吸引更多的黑客攻擊。此外，各地區針對加密資產的監管政策在逐漸完善，以打擊各類使用加密資產進行的犯罪活動。在這樣的趨勢下，預計2025年黑客攻擊活動將持續處于高位，全球執法機構和監管部門依然面臨嚴峻的挑戰。