前言
9月结束后我们迎来了十一小长假。长假过后10月工作日第一天，知道创宇区块链安全实验室为大家整理了9月安全攻击事件。
9月，攻击事件虽然大量减少，但所涉及金额却并未减少。据知道创宇区块链安全实验室数据显示：该月发生的安全事件超26起，其中钓鱼攻击事件增加迅猛，本月造成损失最为严重的当为加密做市商Wintermute因私钥泄露事件，损失高达1.6亿美元。本月安全事件造成的损失总金额共计约167,400,000美元。
数据分析
1、占比分析：
分析发现，网络钓鱼安全事件在9月占比最多，高达44%，请大家警惕钓鱼注意保护个人资产。值得高兴的是，9月跑路局大幅度减少仅占比8%。
2、对比数据分析：
美联储澄清即时支付服务FedNow与CBDC无关:金色财经报道，美国联邦储备委员会澄清，其用于机构间即时支付的新服务FedNow Service与央行数字货币（CBDC）没有任何关系。美联储认证 FedNow Service 已 \"准备就绪\"，此前已有 41 家金融机构、15 家服务提供商和美国财政部参与了该系统的测试，该系统将于 2023 年 7 月底推出。
然而，央行必须澄清，即时法定支付和实时全额结算(RTGS)的承诺不是由CBDC提供支持的。美联储在一条推文中表示，FedNow服务与其他支付服务类似，如Fedwire和FedACH，它们都在法币生态系统的范围内工作。[2023/7/20 11:06:58]
通过对比我们可以发现，本月安全攻击事件除了网络钓鱼类，其他类型数量均为减少，尤其是跑路局由上月17起减少至2起。
3、2022年月安全趋势：
以BTC、ETH为标的资产的证券产品总价值较前日增长306%:金色财经报道，当前以BTC、ETH为标的资产的证券产品总价值为95.54亿美元，较前日增长了306.45%。其中，以BTC为标的资产的证券产品持有141,025枚比特币，占BTC市值的1.3%，较上周增长541枚BTC；以ETH为标的资产的证券产品持有以太坊下降至414万枚，占ETH市值的3.47%。注：以BTC、ETH为标的资产的证券产品，可在传统证券交易市场进行公开交易，投资者可通过此类产品追踪BTC、ETH风险敞口。[2022/12/12 21:37:59]
本月安全数量大幅度下降，成为下半年以来最少攻击事件月，应该与以太坊POS共识机制合并有较大的关系，后续如何发展我们将持续关注。
以下是知道创宇区块链安全实验室对9月各类型安全资讯的总结，并就其暴露出的问题进行探讨。
DeFi安全类型事件
9月2日，隐私项目ShadowFi遭遇黑客攻击，其官方TokenSDF下跌98.5%。攻击者利用SDF的漏洞允许任何人烧毁Token，获利约1078枚BNB，目前被盗资金已被转入TornadoCash。
英国央行：英国政府减税将促使关键利率发生“重大”变化:9月30日，据华尔街日报报道，英国央行称，英国政府减税将促使关键利率发生“重大”变化。[2022/9/30 6:03:08]
9月4日，RugPullFinder最新推出的NFT项目「BadGuys」在免费铸造期间遭到漏洞利用攻击，两名用户利用其NFT合约漏洞铸造了450枚NFT，而不是按照最初设定的每个钱包仅能分配1枚NFT。这次漏洞是因为「mint」函数缺少所需的安全检查导致，该团队已在社交媒体上做出道歉并称将支付2.5ETH赏金来回购多铸造的NFT。
9月4日，BNBChain上聚合DAO社区DAOOfficials疑似被攻击，此外链上数据显示攻击者或获利逾50万美元。
9月7日，攻击者通过AVAX闪电贷攻击获利约37万USDC。攻击者可能影响的协议包括NereusFinance、TraderJoe、CurveFinance。
9月8日，BNBChian链上NewFreeDao项目遭到闪电贷攻击，NFD价格下跌超99%，损失4500枚BNB
瑞典央行任命比特币怀疑论者Erik Thedéen为新任行长:6月18日消息，瑞典央行（Riksbank）表示，已于周五任命比特币怀疑论者、现任国家金融监管机构FSA负责人Erik Thedéen为新任行长。Thedéen将于2023年1月1日上任，并参加2023年2月的货币政策会议，任期为6年。
Thedéen的任命遭到了加密行业内部的质疑。加密货币分析师兼交易员Eric Wall在推特上表示，在市场受到一系列坏消息冲击的情况下，新行长的任命是“最糟糕”的。Wall此前曾批评Thedéen是“无知的”。（BeInCrypto）[2022/6/18 4:37:34]
9月18日，攻击者首先在ETH主网上通过omniBridge转移WETH，随后将相同的交易内容在ETHW链上进行了重放，获取了等额的ETHW。目前攻击者已经转移了741ETHW到交易所。Beosin安全团队建议如果项目方合约里面预设了chainID，请先手动将chainId更新，即使项目方决定不支持ETHW，但是由于无法彻底隔绝通过跨链桥之间的资产流动，建议都在ETHW链上更新。
跨境支付巨头速汇金计划推出基于Stellar的稳定币汇款平台:5月30日消息，跨境支付巨头速汇金（MoneyGram）正试图扩大数字货币的采用，计划将推出基于Stellar的稳定币汇款平台。据悉，速汇金正准备与Stellar区块链合作推出一项服务，该服务将支持用户进行稳定币汇款及稳定币与硬通货之间的兑换。一旦该服务全面启动，在Stellar区块链上拥有数字钱包的用户将能够将其持有的资产转换为Circle网络金融的USDC稳定币，然后可以通过速汇金的网络兑现。
报道称，速汇金与Stellar的新服务也有助于在新兴市场推广加密货币的使用。根据世界银行的数据，去年向低收入和中等收入国家的汇款增至5890亿美元，预计今年还会增加。对于去年将比特币作为法定货币的萨尔瓦多等国家来说，汇款占国内生产总值的20%以上。
此前去年10月份消息，MoneyGram联合Stellar与USDC共建加密货币支付。（彭博社）[2022/5/30 3:49:38]
9月20日，加密做市商Wintermute因私钥泄露被黑客攻击损失1.6亿美元。
局安全类型事件
9月16日，GigaChadsDAO项目疑似出现Rugpull，CHAO代币价格暴跌80%。合约部署者铸造了大量代币然后将其出售。
9月26日，在BNBChain上发现抢先交易机器人局，其中子教用户如何开发「抢先交易」机器人(Front-runbot)来赚钱，但它提供的合约有一个后门，部署完成后，受害者的所有代币都会转移到攻击者的地址。
网络钓鱼安全类型事件
9月6日，ArtsDAO项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月6日，Dictators项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月8日，元宇宙平台TheSandbox项目Instagram账号被入侵，thesandboxesgame.com是钓鱼网站。请用户不要点击钓鱼网站。
9月12日，AlphaCentauriKid官方Discord服务器收到钓鱼邮件攻击，请不要点击，铸造或批准任何交易。
9月14日，BAYC#8941疑似被盗，NFT被转入0x18e541...D0F4地址，被标记为钓鱼地址。
9月14日，ID为@FreddyAdu的经过认证的推特账号遭到黑客攻击，攻击者将其伪造为LooksRare推特并发布虚假空投网站信息，目前仍未恢复。
9月18日，AlterEgoHunters官方表示其Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月18日，Dystians的Discord遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月18日，NFT项目pump?kin发推称，Discord服务器和Discord管理账户遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月20日，印度加密交易平台CoinDCXTwitter帐号疑似被入侵，并发布欺诈性链接。
9月22日，SuspiciousUnicornSociety项目Discord服务器遭到攻击。请社区用户不要点击、铸造或批准任何交易。
9月28日，SOLDecoder项目Discord服务器遭攻击。请社区用户不要点击、铸造或批准任何交易。
其他安全事件类型
9月2日，去中心化流动性协议KyberNetwork在推特上披露，该协议因前端漏洞利用导致其用户损失26.5万美元资金。该漏洞源于KyberSwap网站中的恶意GoogleTagManager代码，攻击者的目标是鲸鱼钱包，通过插入虚假批准获得了转移用户资金的权限。
9月9日，零知识证明研发机构StarkWare发推称，其扩容引擎StarkExV4.5被VladBochok和IhorBarenblat指出存在漏洞，在运营者控制的条件下，该漏洞可使用户能够从一个冻结系统的Vault中双花。不过，目前该漏洞已被修复。
9月18日，通过Profanity创建的某些以太坊地址存在严重漏洞，黑客利用Profanity漏洞获利330万美元。
9月20日，加密货币投资服务银行Revolut已经证实，它受到了一次高度针对性的网络攻击，黑客可以访问数万名客户的个人详细信息。
9月26日，0x9731F开头地址从使用Profanity工具生成的以太坊靓号地址中窃取95万美元的加密货币，攻击者已将将732枚以太坊转移至混币器。
总结
从Defi的角度来看，所涉及的安全事件中，闪电贷攻击和重入攻击仍旧最为常见，所以说合约的审计是非常有比较的。而加密做市商Wintermute安全事件提醒我们私钥的重要性，一定要保护好自己的私钥，所以在合约本身的安全之外，我们也需要关注合规性安全。知道创宇区块链安全实验室在此提醒，对合约安全有必要做到常规审计和复合审计，保障合约免受其他攻击影响，同时高度重视函数权限问题，以防止高权限函数被任意调用。
从网络钓鱼以及局跑路角度来看，跑路局在本月有所下降，但仍然不可放松警惕，需要时时刻刻对项目及项目方进行细致的考察；而网络钓鱼逐月增加，可以看出攻击者认为网络钓鱼更容易到用户从而获利，作为用户要多加小心，不可随意信任他人而点击相关内容。
山河远阔，国泰民安，祝福虽晚但心意不晚，祖国生日快乐！
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。