2024 Blockchain安全與反*洗*錢年度報告解讀之安全態勢
上周，我們發布了慢霧出品|2024Blockchain安全與反*洗*錢年度報告，接下來我們把報告分為四篇文章來解讀，剖析報告中的關鍵內容，幫助讀者更全面深入地理解當前Blockchain生態系統中的關鍵安全挑戰和機遇。本篇主要聚焦Blockchain生態安全態勢。
在安全領域，2024年延續了以往的嚴峻態勢。黑客攻擊事件頻發，尤其是針對中心化平臺的攻擊占據著主導地位。與此同時，智能合約漏洞和社會工程學攻擊仍是黑客的主要作惡手段，而釣魚攻擊的方式更加隱蔽，手段更加復雜，用戶資產的保護仍面臨重大挑戰。供應鏈安全問題也在2024年引發更多關注，多個知名項目遭遇惡意代碼注入攻擊，導致大量用戶資產丟失。
根據慢霧Blockchain被黑事件檔案庫(SlowMistHacked)統計，2024年共發生安全事件410件，損失高達20.13億美元。對比2023年（共464件，損失約24.86億美元），損失同比下降19.02%。
注：本報告數據基于事件發生時的Tokens價格，由于幣價波動和部分未公開事件的損失未納入統計等因素，實際損失應高于統計結果。
DMMBitcoin
2024年5月31日，日本Crypto交易所DMMBitcoin表示，其官方錢包中的4,502.9BTC被*非*法轉移，造成價值約482億日元的損失。據悉，DMMBitcoin安全事件的損失金額在Crypto黑客攻擊史上排名第七，是自2022年12月以來最大的一次攻擊。同時，此前日本曾發生過兩起重大Crypto交易所黑客攻擊事件，即2014年的Mt.Gox事件和2018年的Coincheck事件，被盜金額分別為4.5億美元和5.34億美元。此次DMMBitcoin攻擊事件成為日本第三大此類案件。12月23日，據美國聯邦調查局（FBI）通報，美國聯邦調查局（FBI）、國防部網絡犯罪中心（DC3）以及日本警察廳（NPA）提醒公眾，此次盜竊與TraderTraitor威脅活動相關，TraderTraitor也被跟蹤記錄為JadeSleet、UNC4899和SlowPisces。TraderTraitor活動通常以針對同一公司多名員工的社交工程攻擊為特征。
據悉，2024年3月底，一名偽裝成LinkedIn招聘人員的朝鮮黑客聯系了Ginco公司的員工，Ginco是一家總部位于日本的企業級Crypto錢包軟件公司。黑客向目標員工發送了一個鏈接，指向一個托管在GitHub上的惡意Python腳本，聲稱這是一個入職測試。目標員工將Python代碼復制到自己的GitHub頁面上，結果遭到入侵。5月中旬后，TraderTraitor黑客利用會話Cookie信息冒充被攻擊的員工，成功訪問Ginco公司未加密的通信系統。5月底，黑客可能利用此訪問權限篡改了DMMBitcoin員工的合法交易請求，導致4,502.9BTC被盜。最終，盜取的資金被轉移到TraderTraitor控制的錢包中。PlayDapp
2024年2月9日，Blockchain游戲平臺PlayDapp遭攻擊，黑客入侵了PlayDapp(PLA)Tokens智能合約。黑客*非*法獲取了私鑰，從而改變了智能合約的所有權和鑄幣權限，將其轉移到自己的賬戶上。黑客移除了現有管理員的授權，并*非*法鑄造了2億個PLATokens。事發后不久，PlayDapp通過鏈上交易向黑客發送消息，要求歸還被盜資金并提供100萬美元白帽獎勵，但最終談判失敗。2月12日，黑客再次*非*法鑄造了15.9億PLATokens，但由于交易所已采取凍結措施，市場流通已被停止，未能流通。4月1日，據PlayDapp披露，2024年1月16日，PlayDapp團隊收到了黑客偽造的郵件，該郵件精心設計，具有與其常收到的來自主要合作交易所的常規信息請求郵件完全相同的標題、發件人郵件地址（包括用戶名和域名）以及內容。分析表明，當執行郵件附件中的惡意代碼時，受害者的電腦安裝了一個篡改的遠程訪問多會話工具，隨后被黑客遠程控制，導致管理員私鑰被盜。WazirX
2024年7月18日，印度Crypto交易所WazirX的多簽錢包被監測到發生多筆可疑交易。7月19日，據WazirX在X平臺發布網絡攻擊的初步調查結果，他們的一個多重簽名錢包遭遇了網絡攻擊，損失超過2.3億美元。該錢包共有六個簽署人——五名來自WazirX團隊成員和一名來自Liminal的成員，負責交易驗證。每筆交易通常需要WazirX團隊三名簽署人（這三名簽署人都使用Ledger硬件錢包以確保安全）批準后，才會由Liminal的簽署人進行最終批準。此次網絡攻擊源于Liminal界面上顯示的數據與實際交易內容之間的差異，在攻擊發生時，Liminal界面顯示的交易信息與實際簽署的內容不符。WazirX懷疑黑客通過替換載荷，將錢包控制權轉移給了自己。BtcTurk
2024年6月22日，土耳其Crypto交易所BtcTurk遭攻擊，損失約9千萬美元。BtcTurk在6月22日的聲明中表示：“此次網絡攻擊影響了我們熱錢包中10種Crypto余額的一部分，大部分存儲在冷錢包中的資產仍然安全。”據Binance首席執行官RichardTeng透露，Binance已凍結了其中價值530萬美元的被盜資產。Munchables
2024年3月27日，Blast生態項目Munchables遭攻擊，損失約6,250萬美元。同日，Blast創始人Pacman發推表示：“Blast核心貢獻者已通過多重簽名獲得9,700萬美元的資金。感謝前Munchables開發者選擇最終退還所有資金，且不需要任何贖金。”RadiantCapital
2024年10月17日，RadiantCapital在X發文表示意識到BNBChain和Arbitrum上的Radiant借貸市場存在問題，Base和主網市場已暫停交易。據慢霧安全團隊分析，此次事件是Radiant黑客*非*法控制3個多簽權限后，升級了惡意合約以竊取資金。10月18日，Radiant發布事件分析報告表示，此次事件導致約5千萬美元的損失，黑客通過復雜的惡意軟件注入技術，成功入侵了至少三位核心貢獻者的設備，這些被入侵的設備隨后被用來簽署惡意交易。12月6日，Radiant發布被攻擊事件的最近進展，Radiant聘請的安全公司Mandiant將此次攻擊歸因于UNC4736，通常被稱為AppleJeus或CitrineSleet。Mandiant高度認為UNC4736與朝鮮民主主義人民共和國（DPRK）有關。BingX
2024年9月20日，據Crypto交易所BingX公告，新加坡時間9月20日凌晨4點左右，BingX的安全系統檢測到針對一個熱錢包的未經授權的入侵。據慢霧安全團隊統計，此次事件導致的損失約達4,500萬美元。根據MistTrack 的分析，Indodax黑客和BingX黑客之間疑似存在聯系，這兩起攻擊事件的黑客使用了同一個地址*洗*錢，且都指向了朝鮮黑客LazarusGroup。HedgeyFinance
2024年4月19日，HedgeyFinance遭攻擊，黑客進行了一系列惡意交易，導致其在Ethereum和Arbitrum兩條鏈上損失總計約4,470萬美元。此次事件的根本原因是缺少對用戶參數輸入的驗證操作，使得黑客能夠操縱并獲得未經授權的Tokens批準。Penpie
2024年9月4日，去中心化流動性收益項目Penpie遭攻擊，黑客獲利約2,735萬美元。據慢霧安全團隊分析，此次事件的核心在于Penpie在注冊新的Pendle市場時，錯誤地假設所有由PendleFinance創建的市場都是合法的。然而，PendleFinance的市場創建流程是開放式的，允許任何人創建市場，并且其中的關鍵參數如SY合約地址，可以由用戶自定義。利用這一點，黑客創建了一個含有惡意SY合約的市場合約，并利用Penpie池子在獲取獎勵時需要對外部SY合約調用的機制，借助閃電貸為市場和池子添加了大量的流動性，人為放大了獎勵數額，從而獲利。FixedFloat
2024年2月16日，根據鏈上數據，Crypto交易平臺FixedFloat遭攻擊，損失約409枚BTC（約2,117萬美元）和1,728枚ETH（約485萬美元）。FixedFloat針對此次攻擊事件表示：這次黑客攻擊是由于安全結構中的漏洞引起的外部攻擊，并不是由員工所實施，用戶資金并未受影響。4月2日，FixedFloat在X平臺表示其再次遭受了2月16日攻擊事件的黑客的攻擊。黑客設法利用了FixedFloat使用的第三方服務中的漏洞。這兩次攻擊事件給FixedFloat造成總計約2,900萬美元損失。RugPull
RugPull是一種*騙*局，其本質是惡意項目方造勢吸引用戶投資，等到時機成熟便“拉毯子”，卷款跑路。根據慢霧Blockchain被黑事件檔案庫(SlowMistHacked)統計，2024年RugPull事件達58起，導致損失約1.06億美元。
（2024損失Top10的跑路事件）
隨著Meme幣熱潮的到來，許多用戶在投機和FOMO情緒驅使下，忽視了潛在風險。一些發幣方甚至無需向用戶描繪愿景或提供白皮書，僅憑一個概念或口號，便能炒作出熱度吸引用戶購買Tokens，而低廉的作惡成本導致跑路事件層出不窮。以下是惡意項目方的常見操作：
虛假宣傳和造勢：通過夸大技術實力或市場潛力，以及虛假合作或名人背書等手段，吸引用戶投資。
操控Tokens價格：項目方通常會預先持有大量Tokens，通過操控市場價格制造繁榮假象，吸引更多資金入場。
Tokens合約設置漏洞：通過在智能合約中預留后門，項目方可以隨時提取資金或銷毀流動性池。
人間蒸發：在跑路前夕，項目方往往會關閉官方網站、社交賬號或解散社群，切斷與投資者的聯系。了解惡意項目方的操作手法后，我們可以發現，這些*騙*局往往利用的是用戶的投機心理和對高收益的渴望。要避免成為這類*騙*局的受害者，關鍵是保持警惕，增強防范和驗證能力，以下方法可以幫助用戶盡可能避免參與到會跑路的項目：
審查項目背景：關注團隊成員的真實性和背景，查看其過往項目是否有不良記錄。
是否經過審計：查看項目是否經過專業的安全審計。
關注社區反饋：加入項目的社交媒體或論壇，觀察社區的活躍度和討論內容，警惕過多的吹捧或不合理承諾。
分散投資：不要把所有資金投入一個項目，避免因單一項目造成重大損失。
警惕高收益誘惑：天上不會掉餡餅，高收益往往伴隨高風險，對于“快速翻倍”，“零風險”等不切實際的承諾需格外謹慎。
完整報告的鏈接如下，也可直接點擊閱讀原文跳轉，歡迎閱讀并分享:)
中文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(CN).pdf
英文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(EN).pdf