据成都链安安全舆情监控数据显示：2021年3月，据不完全统计，整个区块链生态发生的典型安全事件超23起，整体安全风险评级为。需要引起注意的是，3月与典型安全事件频发，较2月呈现出明显增长态势。纵观3月发生的典型安全事件，暴露出来的安全风险依然不容忽视，多个DeFi项目遭到黑客攻击，所造成的巨额经济损失严重影响着区块链生态的安全和稳定。另外，随着虚拟货币的普及程度和财富效益逐步攀升，本月的相关事件波澜再起，亟需重点关注。
以下为本月安全月报的详细事项。交易所方面，共发生『1』起典型安全事件
01去中心化资产管理平台CookProtocol在推特上发布警示称，目前出现了一些假冒CookProtocol的团体、渠道和流动性池。官方表示，CookProtocol还没有上线Uniswap，请用户当心。DeFi方面，共发生『8』起典型安全事件
成都链安：BAYC项目具有被无限铸币的风险:据成都链安安全舆情监控数据显示，BAYC项目具有被无限铸币的风险。成都链安安全团队分析发现，合约的拥有者并非多签钱包，合约拥有者可以任意调用reserveApes()函数进行铸币，每次调用函数可以直接铸造30枚无聊猿NFT，如果合约所有者遭到钓鱼攻击或私钥泄露等，可能会导致大量无聊猿NFT被铸造并售卖。后面成都链安会持续监控该合约拥有者的动向。[2022/6/6 4:04:55]
01社群信息显示，DeFi项目MeerkatFinance金库合约遭遇黑客攻击，黑客利用漏洞盗取了金库中的全部资金价值约3100万美元的BNB代币。目前该项目网站已经无法打开。02去中心化金融应用程序PaidNetwork的合约代币铸造功能因漏洞被利用，已错误铸造了6000万枚PAID代币。03DeFi门户网站DeFiBox.com项目监测发现，宣称上线Heco的Heco.cx使用了虚假的媒体快讯，且项目宣传中多处夸大失实，其审计报告疑似造假。04去中心化交易所DODO上的wCRES/USDT资金池似乎被黑客攻击，转移走价值近98万美元的WrappedCRES和近114万美元的USDT。05ETH和BSC上的跨链稳定币TrueSeigniorageDollar表示，恶意攻击者利用TSDDAO在其账户中铸造118亿枚TSD代币，并全部在Pancakeswap出售。06北京时间3月15日晚，大量BSC项目前端遭到攻击，推特上开始提醒用户请勿进行合约操作。CreamFinance表示DNS已经被第三方破坏，请不要在网页上输入任何词句；Pancake也表示，遭到了与Cream类似的DNS劫持，请不要使用该网站。07Filecoin出现“双花交易”，多家交易所关闭FIL充值通道。此次攻击方法更加隐蔽，是由于Filecoin节点特性所引起。08DeFi聚合理财服务SIL.Finance发文称，在发现智能合约因存在高危漏洞而无法提现后，经过多方36小时的努力，已经追回1215万美元，并且挽救一个多签钱包地址。Beosin评论：全球范围内，百放齐放的各类DeFi项目正在蓬勃发展，而这些DeFi项目同时又锁着超过百亿的虚拟货币资产，无疑将成为黑客开展各类攻击的重灾区。成都链安认为，DeFi领域目前尚处于发展阶段，各大项目方一定要确保上线前做好代码审计工作，防微杜渐。
成都链安：国内天穹数藏宣称遭黑客攻击，黑客利用虚假余额购买盗取用户的藏品:5月17日消息，据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，天穹数藏宣称遭黑客攻击，藏品售价异常高达近千万元。根据平台公告称：平台数据遭遇大量恶意攻击，黑客利用虚假余额购买盗取用户的藏品，导致数据异常，目前已恢复，平台已第一时间报警处理。成都链安安全团队初步分析，导致本次攻击的原因猜测为：攻击者通过传统网络安全攻破了平台方数据库，恶意篡改账户余额，导致大量用户高价挂单仍可成交，最终导致数据异常。成都链安安全团队建议：
1、 国内数字藏品平台方在设计、实现和部署的过程中，要关注通信与网络安全、主机安全、数据库安全、移动安全等传统安全领域，做好安全防护；
2、 国内数字藏品平台方在运维的过程中，要做好金融风控的设计和实施，避免出现大规模资金异动而不自知的情况；
3、 数字藏品消费者在选择交易平台时，需要关注平台合规风险，注意保障自身财产安全；
4、 数字藏品消费者警惕炒作风险和市场泡沫，避免泡沫破裂时造成财产损失。[2022/5/17 3:22:51]
成都链安：InuSaitama疑似遭遇套利攻击，损失约430个ETH:3月27日消息，据成都链安技术团队分析，InuSaitama疑似遭遇套利攻击，攻击者（0xAd0C834315Abfa7A800bBBB5d776A0B07b672614）在 Saitamask（0x00480b0abBd14F2d61Aa2E801d483132e917C18B）中通过swap交换出了几乎10倍价值的SAITAMA Token，之后再通过uniswap交换回ETH，将其转移到0x63493e679155c2f0aAd5Bf96d65725AD6427faC4，共获利约430个ETH。[2022/3/27 14:19:43]
跑路/加密局方面，共发生『7』起典型安全事件
01以太坊侧链扩容方案Polygon在推特上发布警告称，谷歌Play商店提供了一款假冒的“MaticWallet”应用程序。此恶意应用程序与MaticNetwork或Polygon无关。023月2日，有人向一个名为“ElonMusk”的钱包地址发送了5枚BTC，价值约24.3万美元。03美国司法部宣布瑞典公民RogerNils-JonasKarlsson对证券欺诈，电汇欺诈和指控表示认罪。他因电汇欺诈和证券欺诈指控而面临最高20年的监禁，而对指控则面临20年的最高刑期。04印度班加罗尔一名38岁的私立大学讲师RameshJ向报告称，自己在加密交易平台CoinSwitchKuber遭遇加密，损失了价值100万卢比的比特币。05英国英格兰兰开夏郡表示，五名犯罪嫌疑人利用由澳大利亚CaseyBlockServices运营的名为Coinspot的公司的漏洞进行虚拟货币，金额2000万英镑。06美国纽约联邦法官MaryKayVyskocil已同意美国CFTC关于加密计划Control-Finance创始人BenjaminReynolds存在欺诈行为的裁决，并命令他支付4.29亿美元的罚款和1.43亿美元的赔偿金，总计5.72亿美元。073月31日，一款设计得像正版应用的比特币应用被苹果的应用商店审核团队接受，最终让iPhone用户PhillipeChristodoulou损失了17.1个比特币，被盗时价值高达60多万美元。Beosin评论：区块链技术及虚拟货币日益普及，推动了越来越多的人对新兴领域的关注，也让者和投机者萌生出新型犯罪方式，各类基于区块链技术和虚拟货币的局应运而生。成都链安在此提醒，时刻提供警惕，不要盲目轻信和跟风。
LLE智能合约已通过Beosin(成都链安）的安全审计:据官方消息，Beosin（成都链安）今日已完成LLE智能合约项目的安全审计服务。
猎豹金融生态系统（Leopard lending ecology）是在以太坊区块链上的智能协议，以该协议为中心建立货币服务市场，服务市场是基于资产借贷需求，以计算得出利率。资产的供应商直接与协议进行交互，从而赚取浮动利率，而无需等待协商利率或抵押品等条款。
创始人Willians表示：我们LLE智能合约的整体设计清晰，逻辑缜密，代码安全可靠，具备了区块链上顶级去中心化金融项目条件之一。
合约地址：0xa1521aA6FE752195418ddbADB5A0c331608416B1；
审计报告编号：202009222010。[2020/9/24]
分析 | 成都链安：钱包Safuwallet服务器是否存储了用户的私钥是关键:针对“网页加密货币钱包Safuwallet被黑与币安服务器出现问题是否存在关联”一事，成都链安在接受金色财经采访时指出：“safuwallet是第三方extension插件钱包，用户资产被盗，主要原因还是私钥被盗，发生了这样的问题，对于钱包服务器而言只要不存储用户的私钥，只做相关交易数据的处理的话，两者之间就没有关系，如果服务器存储了用户的私钥，那黑客就有可能通过攻击服务器获取到用户的私钥。推特消息称是safuwallet被注入了恶意代码，黑客可能先将恶意代码注入到safuwallet中，然后引诱受害者安装钱包，再获取到受害者的私钥后，进行相关代币的转移。事实上，对于非官方钱包，安全性确实不太好保障。对于此类钱包，私钥被盗的时间时有发生。对于这个事件，后续的影响主要是用户的损失、钱包和交易所的声誉。”[2019/10/12]
勒索软件/挖矿木马方面，共发生『2』起典型安全事件
01NiceHash警告该平台的矿工立刻停止使用Phoenix挖矿插件。NiceHash风险控制团队发现，Phoenix挖矿软件已经无法正常地从其原来的下载地址进行下载，来自新下载地址的Controlshasum与开发者在其频道发布的值不一致。02知名电脑厂商宏碁遭遇勒索软件团伙REvil的攻击，要求支付高达5000万美元的XMR，以解密公司的电脑，并且不在暗网上泄露数据。暗网方面，共发生『1』起典型安全事件
01美国司法部宣布，经营DeepDotWeb的TalPrihar对串谋实施活动认罪。根据司法部的指控，Prihar使用新闻网站DeepDotWeb投放广告，将读者定向到各种暗网市场。他们说，Prihar根据点击进入市场的客户，在此类广告的回扣中赚了大约8155枚比特币。其他方面，共发生『4』起典型安全事件013月1日，支持比特币的社交网络平台Gab的70GB数据遭黑客入侵，被黑客入侵的数据包含公共帖子、个人资料和密码、以及私人账户的帖子和消息。02白帽黑客TahaKarim检测到比特币钱包Electrum的macOS版本被入侵。攻击者向Electrum/util.py和Electrum/storage.py存储库中注入了恶意代码，Electrum的Windows版本也存在同样的问题。03NFT指数基金NFTX发起新提案XIP#2，提议向独立安全研究员Samczsun支付50000美元的漏洞赏金，因为Samczsun在NFTX的vault创建合约中发现了一个严重的漏洞。043月10日，跨链项目Cosmos官方发推文表示，所有CosmosHub验证节点请注意，在Gaiav4.0.x中发现一个严重的安全漏洞，但用户资金没有风险。
鉴于当前区块链生态的安全态势，『成都链安』在此总结：从总体上来看，3月所发生的典型安全事件总数虽然与2月持平，整体安全风险评级都由成都链安安全团队定级为，但区块链生态中较为关键的两个方面，与，整体安全风险依然严峻。不难看出，DeFi的典型安全事件居高不下，DeFi项目仍旧是黑客眼中的重点攻击靶子。在此，我们建议广大项目方一方面要在合约或项目上线之前开展全面和专业的安全审计工作，另一方面也需要联动行业各方力量，搭建一套完善的安全防护和资产追踪机制。针对跑路/加密局方面，我们建议广大投资者在甄选投资理财产品时，一定要尽可能做好尽调工作，不要盲目跟风，也不要听信所谓的“内幕消息”，或者宣称稳赚不赔的“理财专家”。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。