今年以来，黑客攻击事件频繁，仅10月20日到10月25日就发生了5余起安全事件，这还是除去各类的钓鱼网站、虚假账户以及项目方跑路等安全事件。那么，今年哪些板块和生态黑客攻击事件最为频繁？最近加密领域又有哪些安全事件值得注意？这些安全事件折射出加密市场有哪些亟需弥补的短板？未来Web3将朝着哪些方向发展？作为用户，我们又能做些什么来保证我们的资产安全呢？本文将就这些问题进行探讨。
加密世界愁云惨淡，下半年黑客攻击异常猖獗
今年毫无疑问是加密市场的熊市之年，不少散户和项目方本就因币价下跌而损失惨重，可“屋漏偏又逢阴雨”，整个加密市场又不断遭受黑客“洗劫”。到了今年下半年，黑客攻击更是异常猖獗，下面就将今年主要黑客攻击事件进行汇总梳理。
据派盾数据统计，2022年上半年黑客攻击总共加密市场总损失达11.3599亿美元，其中大约53%的攻击是利用合约漏洞，大约26.6%的攻击涉及闪电贷。从黑客攻击领域看，大约71%的攻击发生在DeFi领域，受多方面因素影响，DeFi市场TVL从1月初的2760亿美元下降到6月底的800亿美元，下降了71%。
Acala：黑客攻击系iBTC/aUSD池配置错误，相关被盗资产已被禁止转移:8月14日消息，Acala发推表示，此前的黑客攻击系iBTC/aUSD流动性池的配置错误，导致大量aUSD的错误开采。该配置错误已被纠正，收到错误铸造的aUSD的钱包地址已被确定，Acala正在对这些地址进行链上活动追踪。
据初步的链上追踪显示，99%以上错误铸造的aUSD仍在Acala平行链上，被兑换为ACA或其他Token。在Acala社区集体治理决定如何解决错误铸币之前，留在Acala平行链上的这些错误铸造的aUSD及其兑换Token将被禁止转移。[2022/8/14 12:24:51]
进入到今年三季度，黑客事件更是频发。从攻击类型看，加密市场总共发生98起退出局，共计损失5619万美元，发生23起闪电贷攻击，共计损失1737万美元，发生50起其他攻击事件，共计损失4.3亿美元。从生态系统上看，BNBChain生态黑客安全事件最多，共发生105起，其次是以太坊生态，共发生25起，黑客攻击造成生态损失最大的是Multichain，共发生6起事件，共计损失3.53亿美元。从时间上看，7月发生59起安全事件，8月发生56起安全事件，9月发生53起安全事件。十月也是多事之秋，仅10月20日到10月25日就发生了5余起，这还是除去各类的钓鱼网站、虚假账户以及项目方跑路等安全事件，以下是近期相对典型的安全事件：
Connext：用户未直接受到Nomad黑客攻击影响:8月3日消息，Layer2互操作性协议Connext针对Nomad合约漏洞事件发推表示，虽然4月Connext称其正在进行网络升级，以允许Connext使用Nomad基础设施进行通用消息传递，但此更改仍在测试网上，因此，Connext用户并未直接受到Nomad黑客攻击的影响。受影响方包括在受影响链上提供流动性的Connext路由器，Connext路由器在受影响链上总共持有约334万美元的madAssets。[2022/8/3 2:55:20]
10月20日，以太坊闹钟服务漏洞被利用，导致约26万美元被黑客盗取。
10月23日，Optimism生态投资项目Layer2DAO遭遇黑客攻击，黑客通过获取Layer2DAO的多重签名权限盗走约4995万枚L2DAOToken并将部分抛售，使得L2DAO价格一度下跌约90%。
PeckShield：NowSwap遭到黑客攻击 损失金额超100万美元:9月15消息，PeckShield发布推特表示，NowSwap遭到黑客攻击，并盗走了53.5万枚USDT和159枚WETH，价值约107万美元。目前被盗的USDT已通过1inch兑换为ETH并转入了以太坊匿名交易平台TornadoCash。[2021/9/15 23:27:03]
10月24日，SBF发推称一些用户在虚假网站上注册交易，并泄露了自己的FTXAPI密钥。
10月24日，QuickSwap因闪电贷攻击损失22万美元。
10月25日，Web3音乐项目Melody合约受到黑客攻击，代币SNS被盗。
分析 | Nuls团队账户200万代币被盗是由于交易签名验证漏洞遭黑客攻击:本月20日公链Nuls遭遇黑客攻击，团队账户200万代币被盗。慢雾安全团队分析发现，此次攻击的原因是Nuls的交易签名验证算法存在漏洞，黑客利用精心构造的交易绕过了签名验证，转移了团队账户的代币，随后部分代币被抛向市场，目前各大交易所已暂停Nuls充提币。攻击发生后官方紧急排查问题，进行问题修复和代码测试，随后发布新版程序，并定于高度878000（大约北京时间12月25日中午）进行硬分叉，冻结其它未流入市场的代币。慢雾提醒Nuls节点相关运营方，及时升级节点，避免攻击事件进一步扩大。[2019/12/23]
Web3安全该如何保障，听一听行业大V的建议
在Web2向Web3的发展过程中，区块链带来了诸多好处，比如公开透明、自己掌控资产和数据等；但是，合约代码开源、链上数据不可篡改以及权力下放等似乎又给了黑客可乘之机。那么该如何看待区块链技术这把双刃剑？未来Web3的安全问题又该如何解决呢？笔者整理了部分行业KOL的观点，供读者参考。
声音 | V神详述DAO黑客攻击事件细节：担心负面事件损害以太坊形象:以太坊创始人V神近期谈及Genesis DAO的黑客攻击事件时表示，当DAO获得的初始投资超过5000万美元时，V神担心负面事件会损害以太坊的形象，他并未第一时间意识到出现了黑客攻击。2016年6月17日，V神偶然间在Skype上看到了一条消息，促使他看了DAO一眼，从而发现了不对劲的地方，“所以我询问了核心开发者，‘嘿，这正常吗？一开始我在想，另一种结果（指黑客攻击）是不可想象的。对此一定有一个合理的解释……开发人员查看了问题，在接下来的半个小时里，越来越多的人开始议论这件事，很明显，不可想象的事情真的发生了。”作为一种补救策略，他开始向区块链进行“垃圾交易（spamming）”来减缓攻击者的活动。但在将近400万ETH被提走后决定停止操作。被盗取的ETH没有立即送达攻击者的钱包，而是被困在一份为期35天的“子智能合同”中。经过数次讨论后，团队最终决定进行硬分叉来解决问题。V神总结道：“当生态系统中如此大的一部分处于危险之中时，这是值得重新思考的事情……所以社区中出现了分裂，一部分人没有下载这些代码补丁并实现硬分叉，并继续运行旧链（即ETC）。”（AMBCrypto）[2019/11/24]
Polygon首席安全官MuditGupta认为，完美的代码和密码学是不够的，希望Web3公司聘请传统安全专家来结束容易预防的黑客攻击。最近发生的几起加密攻击最终是Web2安全漏洞的结果，例如私钥管理和网络钓鱼攻击以获取登录信息，而不是设计不良的区块链技术；在不采用标准Web2网络安全实践的情况下获得经过认证的智能合约安全审计并不足以保护协议和用户的钱包不被攻击。我一直建议所有大公司至少聘请一位真正重视密钥管理的专门安全人员。
Beosin安全团队子玉表示，一定要对运维等内部人员做好安全培训，因为人其实是安全环节里最充满可变性和不稳定性的一个环节；前阵子有一个跨链桥遭受了攻击，当时大家都以为是私钥被盗/泄露了，结果后来发现是社工钓鱼。团队中的一个工程师想找工作，随后收到了一个高薪offer，当他打开offer文档时，电脑就被入侵了，导致了数据泄露。
BAICapital合伙人Will表示：这个行业强调codeislaw，立法和执法都是没有的。之前的Web3用户以程序员为主，大家需要对自己完全负责。现在用户圈层逐渐扩大到了小白，这类用户是带着传统移动端时代对于应用的盲性/体验上的惯性来到Web3的。所以我觉得安全问题更应该是面向C端解决的，在开发者端、网站端和项目端也需要有安全对策。
安全公司TrailofBits前顾问、数字支付公司安全工程师BobbyTonic认为，对于Web3公司来说，最重要的是了解系统技术的复杂性以及确保其应用程序设计的正确性。对于Web3组织而言，不能保证代码的复杂性和正确性会产生灾难性的后果，因为攻击者可以随时查看其系统和应用程序的源代码。因此，Web3将他们开发的应用程序提交给第三方安全研究公司进行审查已经成为了一种共识：即向用户承诺该应用已经通过了安全测试，可以放心使用。
给用户的一些小建议
在Web3世界，权力下放到用户手中，要想在Web3世界中畅游，安全意识是必不可少的。笔者在此给出一些安全指南，希望可以给刚进入行业的小白一些帮助。
在钱包的使用方面：1、邮箱密码要至少12位以上，并且开启二步验证；2、不要告诉任何人你的任何数字货币信息；3、使用硬件钱包管理账户；4、注意使用chrome插件；5、使用VPN保护你的连接免受窥探者的侵害；6、使用2FA；7、把日常用钱包和主要钱包分开；8、经常换钱包；9、结合使用冷热钱包。
另外，用户也要持续保持防范意识，谨防假网站钓鱼、电信、跑路风险等类型。对所参与项目的最新进展可以多加关注，日常刷刷官方通告渠道或社区，一旦有技术升级、产品更新、服务暂停、漏洞预警或事故披露，也能第一时间获悉，并行动起来保护资产。
作者：比推AsherZhang
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。