*本报告由Beosin、SUSS NiFT、LegalDAO、Footprint Analytics、Biteye、ShellBoxes联合出品。
前言
随着全球数字化进程的不断加速，区块链技术作为一种新兴的去中心化交易方式，正逐渐成为数字经济的核心基础设施之一。然而，随着区块链应用场景的不断拓展，其面临的安全风险也在逐步增加。在这样一个背景下，了解Web3区块链安全态势及加密行业监管政策，成为保障区块链应用安全和稳定的必要措施之一。本研究报告由区块链安全公司Beosin和SUSS NiFT联合发起的区块链生态安全联盟共同创作，围绕2023年上半年全球区块链安全态势、Web3热点事件及加密行业重点监管政策等，进行深入分析和总结，旨在为读者提供有价值的参考和启示，助力区块链技术的安全健康发展。
本章作者：Beosin 研究团队Mario、Donny
据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测，2023年上半年Web3领域因黑客攻击、钓鱼和项目方Rug Pull造成的总损失达到了 6 亿 5561 万美元。其中攻击事件 108 起，总损失金额约 4 亿 7143 万美元；钓鱼总损失金额约 1.08 亿美元；项目方Rug Pull事件 110 起，总损失约 7587 万美元。
Web3领域黑客攻击事件的总损失金额较去年有了大幅度下降。2022年上半年攻击总损失约 19.1 亿美元，2022年下半年约 16.9 亿美元，而2023上半年该数值下降到了 4.7 亿美元。
从被攻击项目类型来看，DeFi依旧是被攻击频次最高、损失金额最多的类型。85 次 DeFi 安全事件总损失金额达到了 2.92 亿美元，占总损失金额的 62%。
从链平台类型来看，75.6% 的损失金额来自 Ethereum，约 3.56 亿美元，居所有链平台的第一位。
从攻击手法来看
（按根本原因进行统计），最频发、造成损失最多的攻击手法为合约漏洞利用。60次合约漏洞事件造成损失2.64亿美元，占所有损失金额的56%。
从资金流向来看，约有2.15亿美元的被盗资产得以追?回，占所有被盗资产的45.5%。另外约有 1.13 亿美元的被盗资产转入了Tornado Cash和其他混币器。
美SEC起诉币安案件的被告答辩截止日期为2023年9月21日:金色财经报道，根据哥伦比亚特区地方法院法官艾米·伯曼·杰克逊（AMY BERMAN JACKSON）签署的一项命令显示，美国证券交易委员会起诉币安案件的被告答辩截止日期为2023年9月21日，原告必须在2023年11月7日前提交反对任何驳回动议的陈述，另在2023年12月12日前应回复支持任何驳回动议的简报。此前艾米·伯曼·杰克逊已拒绝币安要求修改6月26日公开声明的动议。[2023/6/27 22:02:25]
从审计情况来看，被攻击的项目中，约有49%的项目没有经过审计。
与黑客攻击事件较2022年下降的趋势相反的是，对普通用户而言，钓鱼和项目方Rug Pull事件在2023年上半年更加频发。据不完全统计，这两类事件涉及总金额达到了至少 1.84 亿美元。由于钓鱼门槛技术的降低（例如可以通过一些渠道向钓鱼团伙购买恶意工具包，赚取利润后进行分成），导致2023年上半年钓鱼事件大幅增加，成为威胁 Web3 用户安全的主要原因。
2 攻击事件总览
108 起攻击事件造成损失 4 亿 7143 万美元
2023年上半年，Beosin EagleEye安全风险监控、预警与阻断平台共监测到Web3领域主要攻击事件 108 起，总损失金额达 4 亿 7143 万美元。其中损失金额超过 1 亿美元的安全事件共 1 起，损失在 1000 万美元 - 1 亿美元区间的事件共 7 起，100 万美元 - 1000 万美元区间的事件 23 起。
损失金额超过千万美元的攻击事件（按金额排序）：
● Euler Finance - 1.97 亿美元
3月13日，DeFi 协议 Euler Finance 遭到攻击，损失达到了 1.97 亿美元。4月4日，Euler Labs在推特上表示，经过成功协商，攻击者已归还了所有盗取资金。
● Atomic Wallet - 6700 万美元
6 月 3 日，多名 Atomic Wallet 用户在社交媒体发文称自己的钱包资产被盗，统计发现被盗金额至少达到了6700万美元。黑客已将被盗资金通过混币平台Sinbad进行了清洗，被攻击原因仍在调查中。
● MEV attack - 2500 万美元
4月3日，多个MEV机器人遭受恶意三明治攻击，总共损失约2500万美元。
彭博社：6月份加密货币交易量跌至2020年以来最低水平:7月15日消息，今年上半年加密货币行业交易量大幅下降，各大交易平台的现货和衍生品交易量均有所下降，自5月份以来跌幅超过15%，至4.2万亿美元左右，达到去年1月份以来的最低水平。
据CryptoCompare数据，随着比特币下跌，仅6月份的现货交易量就下降了近28%，至1.41万亿美元，为2020年12月以来的最低水平。与此同时，衍生品交易量当月下降了7%，为2021年7月以来的最低水平。而衍生品在加密领域非常重要，占市场的一半以上。（彭博社）[2022/7/15 2:16:00]
● Bitrue - 2400 万美元
4月14日，加密交易所 Bitrue 热钱包遭受攻击，损失达 2400 万美元。
● FPG - 2000 万美元
6月11日，加密货币经纪公司 Floating Point Group (FPG）遭到网络攻击，损失约 2000 万美元的加密货币。
● GDAC - 1300 万美元
4月9日，韩国加密货币交易所 GDAC 遭到黑客攻击，损失近1300万美元。
● Yearn Finance - 1150 万美元
4月13日，Yearn Finance的yusdt合约遭受黑客攻击，黑客获利超1000万美元。
● MyAlgo Wallet - 1120 万美元
2月，MyAlgo钱包遭到中间人攻击，损失达 1120 万美元。
3 被攻击项目类型
85 次 DeFi 安全事件造成 2.92 亿美元损失
2023年上半年，DeFi类型项目共发生 85 次安全事件，占总事件数量的 78.7% 。DeFi总损失金额达到了 2.92 亿美元，占总损失金额的 62% 。DeFi为被攻击频次最高、损失金额最多的项目类型。
85 次 DeFi 安全事件里，有 51 起安全事件都源自于合约漏洞利用，损失达 2.49 亿美元，占DeFi损失总金额的 85%。
钱包攻击事件带来了约 7820 万美元的损失，金额占所有项目类型的第二位。其中Atomic Wallet攻击事件至少损失了 6700 万美元，MyAlgo钱包攻击事件损失为 1120 万美元。
报告：去中心化交易量在 2021 年超过 1 万亿美元:金色财经报道，The Block Research 发布的一份报告的统计数据和最近更新的指标显示，dex 平台在这一年中的交易量达到了 1 万亿美元。据 defillama.com 数据，defi 协议中锁定的价值超过2500 亿美元。在所有区块链平台 dex 中，Uniswap以14.5 亿美元占据 24 小时交易量榜首。数据还显示，Uniswap 的总锁定价值（TVL）约为 88.1 亿美元，略低于 Curve Finance 持有的 223.6 亿美元的 TVL。[2021/12/26 8:04:00]
排名第三的项目类型为交易所，损失约 5014 万美元。交易所攻击事件在2022年全年数据里损失排名也是第三位，今年延续了攻击频发趋势。
跨链桥项目在2022年损失金额排名第一（18.9 亿美元），而在2023年上半年损失大幅下降到了 138 万美元。
4 各链平台损失金额情况
75.6% 的损失金额来自 Ethereum
2023年上半年，Ethereum链上共发生主要攻击事件27起，损失金额约为 3.56 亿美元。Ethereum链上损失金额居所有链平台的第一位，占比约75.6% 。
BNB Chain上监测到了最多的攻击事件，达到了 58 起，攻击事件总数占所有事件的 53.7% 。BNB Chain上发生的58次攻击事件里，有40个被攻击项目都未经审计。
Arbitrum链上共发生7次攻击事件，造成损失约 1671 万美元，安全事件损失金额和数量与2022年相比有所增加（Arbitrum在整个2022年只发生过两次主要的安全事件）。
2022年Solana链上损失金额排所有公链的第三位，而在2023年上半年并未监测到主要攻击事件。
5 攻击手法分析
合约漏洞利用最频发、损失金额最多
2023年上半年，攻击原因最频发、造成损失最多的攻击手法为合约漏洞利用。60 次合约漏洞事件造成损失 2.64 亿美元，占所有损失金额的 56%。
嘉楠科技年报：2021Q1嘉楠科技预售矿机超过15.6万台:北京时间4月12日，嘉楠科技（NASDAQ:CAN）发布2020年全年及第四季度财务报告。财报显示，下半年公司订单获大幅增长，第四季度订单量逾9.2万台。截止2020年末，公司已达成订单合同总量为11.31亿元，其中销售预收款4.29亿元，较三季度增加了3.51亿元，增幅为81.8%。截至2021年一季度末，预售矿机超过15.6万台，预收款项超过15.47亿元。
嘉楠科技第四季度总净营收3820万元，营收成本从2019年同期的11.4亿元和2020年第三季度的1.8亿元下降到2920万元。当季公司毛利从2019年同期亏损6.734亿元和2020年第三季度亏损1700万元扭亏为盈录得910万元，毛利率转正为23%。
从全年看，2020年公司总净营收4.477亿元，全年营收成本从2019年的19.4亿元下降到4.099亿元，降幅达78.9%。2020年全年毛利润3780万元，而2019年全年毛亏损为5.16亿元。
公司主要财务报告亮点包括订单大增、预收大涨、成本下降、毛利转正、研发增加、现金充沛、AI芯片出货量同比翻3倍。[2021/4/12 20:11:07]
约有 1 亿美元的安全事件攻击手法暂不清晰，其中包括 Atomic Wallet 钱包被盗 6700 万美元、加密货币经纪公司 FPG 被攻击 2000 万美元等事件。此类事件涉及金额大，影响用户众多。建议此类项目方在进行事件原因调查的同时，应积极和第三方安全公司进行合作，及时公布调查结果，采取必要的修复措施，对用户资产安全肩负起责任。
另外，还有 7 次私钥泄露事件造成了约 2767 万美元的损失。在2022年，私钥泄露损失也是居所有攻击类型的第三位。私钥泄露事件一直持续威胁着项目方安全。从一些事件披露来看，加强核心成员的职业道德和安全意识管理尤为重要。
按照漏洞类型细分，造成损失最多的前三名分别是业务逻辑缺陷、权限问题和重入。36 次业务逻辑漏洞共造成了约 2.39 亿美元的损失，占所有因合约漏洞攻击损失的 90% 。此类漏洞是开发者最容易遗漏的问题，被攻击后造成的损失往往较大，有 9 起事件的损失金额都超过了 100 万美元。建议项目方寻找富有经验的专业审计公司进行审计。
6 典型案例攻击手法分析
6.1 Euler Finance安全事件
Jump Capital负责人：预计2021年机构投资者将产生FOMO情绪:12月31日消息，Jump Tading旗下风投公司Jump Capital的负责人Peter Johnson发文对2021年加密市场发展作出了十大预测。具体内容为：1.机构投资者将开始产生FOMO情绪。2.预计各国央行将在2021年开始购买比特币。3.出于短期现金管理，企业财务主管将会忽视比特币。4.比特币ETF将获得批准。5. 加密市场并购热开始。大型金融机构和科技公司将争相建立合作或收购，以进入加密市场。6.多家加密公司上市。7.加密生息账户将成为常态。8.美元稳定币供应量达到1000亿美元，Tether仍将是美元稳定币之王，但USDC将开始认真争夺市场。9.DeFi将由于预言机和可访问性服务提升而呈指数增长。10.2021年并不能出现一家央行能全面推出CBDC。（The Block）[2021/1/1 16:12:48]
3月13日，Ethereum 链上的借贷项目 Euler Finance 遭到闪电贷攻击，损失达到了 1.97 亿美元。
3月16日，Euler基金会悬赏100万美元以征集对逮捕黑客以及返还盗取资金有帮助的信息。
3月17日，Euler Labs首席执行官Michael Bentley发推文表示，Euler“一直是一个安全意识强的项目”。从2021年5月至2022年9月，Euler Finance接受了Halborn、Solidified、ZK Labs、Certora、Sherlock和Omnisica等6家区块链安全公司的10次审计。
从3月18日开始至4月4日，攻击者开始陆续返还资金。期间攻击者通过链上信息进行道歉，称自己“搅乱了别人的钱，别人的工作，别人的生活”并请求大家的原谅。
漏洞分析：复盘Euler Finance 2亿美元被盗案的来龙去脉，本次事件带给我们哪些启示？
6.2 BonqDAO安全事件
漏洞分析：开年最大黑客事件，损失8800万美元，加密协议BonqDAO被攻击事件分析
6.3 Platypus Financ
e安全事件
2月17日，Avalanche平台的Platypus Finance因函数检查机制问题遭到攻击，损失约850万美元。然而攻击者并没有在合约中实现提现功能，导致攻击收益存放在攻击合约内无法提取。
2月23日，Platypus表示，已经联系了Binance并确认了黑客身份，并表示将至少向用户偿还63%的资金。
2月26日，法国国家警察已经逮捕并传唤了两名攻击Platypus的嫌疑人。
漏洞分析：闪电贷攻击如何防范？Avalanche链上Platypus项目损失850万美元攻击事件分析
6.4 Yearn Finance 安全事件
2023年4月13日，Yearn Finance的yusdt合约遭受黑客闪电贷攻击，黑客获利超1000万美元。yUSDT 疑似在 1000 多天前部署时便被错误配置，错误地使用了 Fulcrum iUSDC 部署，而不是 Fulcrum iUSDT。
5月26日，Yearn攻击者已将 4134 枚ETH转入Tornado Cash。
漏洞分析：被盗超1000万美元，Yearn Finance如何被黑客“盯上”？
7 反典型事件分析回顾
据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，Atomic Wallet于今年6月初遭攻击，据Beosin团队统计，综合链上已知的受害人报案信息，此次攻击造成的损失至少约6700万美元。
我们将深入探讨这起黑客盗窃案的资金清洗细节，并使用Beosin KYT虚拟资产反合规和分析平台，对黑客的套路进行追踪和分析。
事件综述
根据Beosin团队分析，此次被盗事件截止目前涉及的链包括BTC、ETH、TRX在内总共21条链。被盗资金主要集中在以太坊链。其中：
以太坊链
已查出被盗资金为16262个ETH价值的虚拟货币，约3000万美元。
波场链
波场链已知被盗资金为251335387.3208个TRX价值的虚拟货币，约1700万美元。
BTC链
BTC链已知被盗资金为420.882个BTC价值的虚拟货币，折合1260万美元。
BSC链
BSC链已知被盗资金为40.206266个BNB价值的虚拟货币。
其余链
XRP：1676015个XRP，约84万美元
LTC：2839.873689个LTC，约22万美元
DOGE：800575.67369797个DOGE，约5万美元
以太坊
在黑客对赃款的操作中，以太坊被攻击链路上有两种主要的方式：
1、通过合约进行发散后利用Avalanche跨链
根据Beosin团队分析，黑客会首先将钱包中有价值的币统一换成公链的主币，再通过两个合约来进行汇集。
该合约地址会通过两层中转将ETH打包成WETH，再将WETH转入用于将ETH发散的合约，通过最高5层中转转入Avalanche 用于Cross Bridge的钱包地址中进行跨链操作，该跨链不使用合约进行，属于Avalanche的内部记账式交易类型。
以太坊链路简图如下：
全文阅读：一场涉及至少6000万美元的钱包被盗案，Beosin KYT带你拆穿黑客套路
8 被盗资产的资金流向分析
45.5% 的被盗资产得以追回
2023年上半年，Beosin KYT虚拟资产反合规和分析平台显示，约有2.15亿美元的被盗资产得以追回，占所有被盗资产的45.5%。而在2022年，仅有8%的被盗资产被追回。2023年资金追回的机会大幅提升。除了与黑客谈判追回以外，依靠安全公司、执法机构、社区力量合力追回的案例也在增加。另外，全球监管体系的完善和执法力度的加大，也对黑客行为起到了警戒作用。
约有 1.13 亿美元的被盗资产转入了混币器。其中转入Tornado Cash 约 4538 万美元，其他混币平台约 6814 万美元。自 2022 年 8 月 Tornado Cash受到美国 OFAC 制裁后，黑客使用Tornado Cash进行混币的总金额大幅减少，而其他混币平台的使用率明显增加，如 FixedFloat、Sinbad 等。
9 项目审计情况分析
审计和未审计项目比例大致相当，在108个被攻击项目中，经过审计的项目为 51 个，未经审计的项目为 53 个，比例大致相当。该比例与2022年情况也大体一致。
在经过审计的51个项目里，有31个项目（60%）被攻击原因来自合约漏洞利用。该比例高于去年的 45 %，整个审计市场的质量依旧不容乐观。建议项目方一定要寻找专业的安全公司进行审计。
10 Rug Pull 分析
110 起 Rug Pull 事件卷走 7587 万美元
2023年上半年，Web3领域共监测到主要Rug Pull事件 110 起，涉及金额约 7587 万美元。
从金额来看，14起（12.7%）Rug Pull事件金额在100万美元之上，10万至100万美元区间的事件共41起（37.3%），10万美元以下的事件共55起（50%）。
涉及金额最大的Rug Pull事件为 Fintoch 项目，该项目卷走了约 3160 万美元的资产。
从链平台来看，BNB Chain上发生了80起Rug Pull事件，涉及金额5337万美元，远远高于其他的公链。
2023上半年安全态势总结
总体而言，Web3领域黑客攻击事件的总损失金额较2022年有了大幅度下降。2022年上半年攻击总损失约 19.1 亿美元，2022年下半年约 16.9 亿美元，而2023上半年该数值下降到了 4.7 亿美元，并且其中约有 2.15 亿美元的被盗资产得以追回。黑客攻击呈现大幅放缓趋势，促成这一现象的主要原因有：全球监管体系的逐步完善、执法力度的加大、项目方安全意识的提升、混币器Tornado Cash被制裁、AML反技术和程序的完善等。另外，也出现了依靠社区力量，通过链下情报对黑客身份进行定位并迫使黑客返还的案例。
即便黑客攻击大幅放缓，合约安全问题依旧不能忽略。2023年上半年，最频发、造成损失最多的攻击手法为合约漏洞利用。60次合约漏洞事件造成了2.64亿美元的损失，其中绝大多数被利用的漏洞是业务逻辑问题。一些较为复杂的业务逻辑漏洞，需要经验丰富的专业审计公司才能发现。Beosin审计团队会对每一次黑客攻击事件都会进行深入分析（推特@BeosinAlert)，确保将其中总结出的经验和技术应用到项目审计过程中，以应对实际可能发生的黑客攻击。
与黑客攻击事件下降的趋势相反的是，针对普通用户的钓鱼更加频发。上半年出现了以Venom Drainer为代表的一系列钱包Drainer团伙，他们开发恶意工具包后进行售卖，购买者成功钓鱼获利后再与之进行分成。此类钓鱼波及用户面广，单是Venom Drainer这一个团伙就产生了至少 1.5 万个受害者。对于普通用户而言，最好能够经常关注安全公司的提醒，系统性地学习一些防钓鱼防被盗知识，也可以安装一些防钓鱼插件、交易预执行工具等进行提醒（但不能完全依赖工具，加强自身安全意识永远是第一位的）。
Beosin
企业专栏
阅读更多
金色早8点
Odaily星球日报
金色财经
Block unicorn
DAOrayaki
曼昆区块链法律
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。