本篇主要聚焦区块链生态安全概览及攻击手法。
区块链安全态势
近两年来，在疫情持续肆虐、经济衰退、能源短缺、地缘冲突升级、国际间竞争加剧等种种因素的影响之下，全球社会与经济发展遭遇了前所未有的挑战。与此同时，全球区块链行业也经历着一场不断加速的变革：区块链技术的效率、安全性和可扩展性得到不断改善，元宇宙、NFT等新兴领域的兴起，使区块链行业正式迈入3.0时代。
根据慢雾区块链被黑事件档案库统计，截至6月30日，2022上半年安全事件共187件，损失高达19.76亿美元。
在这些安全事件中，约77%源于项目自身存在漏洞被攻击者利用，损失金额约18.4亿美元，占安全事件总损失的93%；约21%源于包含Phishing&RugPull的Scams，损失金额约1.3亿美元，占安全事件总损失的6%。
区块链生态安全概览
根据被攻击对象的不同，我们将187起安全事故分为三部分：公链赛道、交易平台和其他。
公链赛道
ADP报告发布后，加密货币市场低迷:金色财经报道，尽管人们担心利率上升可能导致经济衰退，但6月份美国私人就业人数超出预期，表明劳动力市场依然强劲。ADP报告发布后，加密货币市场经历了低迷，BTC和ETH等主要加密货币均出现下跌。ADP发布后，加密货币市场出现小幅下滑。BTC下跌1.21%，至30,544.90美元，ETH下跌1.17%，至1,902.00美元。这些小幅下滑反映了市场对报告调查结果的反应。高于预期的美国就业数据可能表明美联储可能加息。[2023/7/7 22:22:52]
作为区块链行业的基础设施，公链承载了人们对于区块链作为Web3底层网络的期望。随着一代又一代公链的崛起，NFT、DeFi、GameFi、元宇宙等生态热潮也相继迎来爆发，同时这些项目也促进了公链的发展与价值提升，使多链世界从理想走向了现实。据FootprintAnalytics的数据，截至6月累计已收录的公链数量有119条，对比2021年6月收录的31条，同比增长约284%。
但公链的快速发展同时是一把双刃剑，在促进产业进步的同时，引发的区块链安全问题也显著增加，我们分别从?DeFi、NFT、跨链桥三方面解析。
DeFi生态
DeFi作为世界上最受欢迎的可编程区块链，2022发展态势不可小觑，据DeFiLlama数据显示，6月30日DeFi总锁仓价值为1432亿美元，其中ETH链以945.5亿美元的TVL占据了资金沉淀的半壁江山，其次是BSC链的110.8亿美元。2021年以来，许多新兴公链如Solana、Avalanche等通过拥抱DeFi快速发展链上生态，也吸引了大量用户和资金沉淀。6月30日SolanaTVL为26.4亿美元，同比增长77%；AvalancheTVL为55.4亿美元，同比增长96%。
美国国税局发布加密货币的公众报告要求清单:1月28日消息，随着提交2022年美国联邦所得税申报表的截止日期临近，美国联邦税法的执行机构美国国税局 (IRS) 发布了一份针对处理加密货币的公众的报告要求清单。
直到2021年，美国国税局在与所得税相关的报告表格中使用了“虚拟货币”一词，该表格已更新为“数字资产”。所有美国公民都必须回答有关加密货币的问题，“无论他们是否参与任何涉及数字资产的交易”。（Cointelegraph）[2023/1/29 11:34:30]
随着DeFi热潮的兴起，该领域也自然成为了黑客觊觎的重点对象。根据SlowMistHacked统计，截至6月30日DeFi安全事件约100起，损失超16.3亿美元。其中在BSC、ETH、Fantom、Solana、Polygon、Avalanche、跨链桥上发生的安全事件数量分别为47起、29起、8起、5起、2起、1起、7起，所造成损失分别为1.4亿美元、3.08亿美元、5491万美元、6383万美元、1310万美元、830万美元、10.43亿美元。
NFT生态
基于区块链技术的NFT也是需要重点关注的对象，随着一批头部NFT项目的崛起和各路名人的参与，NFT极速发展。根据DuneAnalytics的数据，OpenSea的交易量在1月份达到上半年最高峰2.84亿美元，而随着加密货币市场的变化，OpenSea在6月份的交易量只有1558万美元，下滑94%。在NFT的热潮中，目前以太坊生态的NFT在市值和交易量依旧占据市场的主流，交易量超90%。除了以太坊外，从近30天交易量和近7天交易量这些短期数据来看，Solana，Flow等生态的NFT也正在快速发展，且表现亮眼，多链时代距离我们越来越近。
报告：多家上市加密矿企资产负债表流动性不佳:9月9日消息，Arcane Research发布报告称，由于比特币价格暴跌、增长困难和能源价格上涨的综合影响，比特币挖矿公司目前处境艰难。在其分析的8家上市矿企的速动比率（企业速动资产与流动负债的比率）中有6家自3月31日以来大幅下降，这表明多家上市加密矿企资产负债表流动性不佳。其中Marathon的跌幅最大，从3月31日的17.4降至3.1，而Stronghold速动比率现仅为0.3。仅Riot和CleanSpark是正增长，Riot从3月31日的2.1增至3.9。
报告称，虽然公开的比特币矿企处境艰难，被迫出售大量比特币，但迄今为止还没有一家破产。 上市矿企能够目前安然无恙的主要原因是，他们在今年夏初持有大量现金和比特币。整个夏天，这些公司都在抛售比特币，用部分现金储备支付矿工运输和其他费用。[2022/9/9 13:19:19]
蓬勃发展的同时意味着赛道发生的安全事故也不在少数，根据SlowMistHacked不完全统计，截至6月30日NFT赛道安全事件约48起，损失超6281万美元。其中33.4%源于项目自身存在的漏洞被攻击者利用，20.8%源于RugPull，而钓鱼攻击占了大部分，占比为45.8%，多数都是由于Discord/Twitter等媒体平台被黑后黑客发布钓鱼链接。
声音 | 多家券商报告：区块链有望引领科技板块反攻:东方证券指出，目前在市场、监管、认知等各方面因素作用下，区块链产业发展回归理性，持续在各细分领域中探索技术落地；看好区块链技术长期在我国行业应用的潜力，随着5G、物联网等新技术的应用，区块链技术落地有望加速。民生证券认为，此次将推进区块链技术的发展和落地应用提升至国家核心技术的战略高度，明确区块链技术的价值；通过技术提升教育、食品安全、医疗、公益等民生领域、供应链管理、金融等企业效益，以及智慧交通、智慧城市、人工智能等区块链生态打造，相关重点企业有望受益。联讯证券预判，下周科技主线有望回归最强音，区块链有望引领科技板块反攻；顶层释放重大信号，新的技术周期将逐步崛起，建议关注A股市场区块链、数字货币、5G、物联网等相关概念股。中银国际证券表示，区块链技术横空出世有望引爆近期走势纠结的资本市场，带动计算机和科技板块反弹，相关概念龙头股有望获得较高的收益；另一方面，区块链概念涉及广泛，不断有新的公司涌现，市场短期有可能存在认知误区，可以在增量上挖掘。展望后市，多家券商认为，A股持续震荡后有望向上突破，建议逢低布局，耐心持仓，重点关注包括区块链在内的科技成长股。（中国证券报）[2019/10/28]
并且随着时间推移，不法分子的攻击逐渐猖獗，根据TRMLabs发布的报告，在5、6两个月，由TRMLabs社区主导的报告平台Chainabuse收到了超过100份关于Discord黑客攻击的报告；自5月以来，NFT社区损失约2200万美元；6月，黑客在被黑的Discord中发布NFT相关的钓鱼攻击同比增加了55%。
跨链桥
声音 | TheTie：75％交易所报告了可疑的加密货币交易量:据CCN报道，根据TheTie今天发布的一份报告，超过86％的比特币交易量是可疑的，而75％的交易所报告了非常可疑的交易量。例如，用户平均每次访问的价值为13418美元，因此Bithumb每月交易量应约为12亿美元。相反，Bithumb则报告了超过280亿美元的交易量。[2019/3/19]
随着区块链的发展，目前已经进入一个以太坊为核心多链并存的局面，链与链之间的资产转移、智能合约的跨链交互已成为链上活动的日常，跨链桥作为区块链基础设施的地位越发凸显。根据DuneAnalytics数据，截至6月30日以太坊中15个主要跨链桥的锁定总价值约83.9亿美元。目前TVL最高的是PolygonBridges，排名第二的是ArbitrumBridge，随后是AvalancheBridge。
由于流动资金量大，去中心化程度低，权限几乎都掌握在多签钱包中等特性，跨链桥也成了黑客眼中的“香饽饽”。根据SlowMistHacked统计，截至6月30日跨链桥安全事件共7起，损失高达10.43亿美元，占比DeFi上半年总损失的64%，占比上半年总损失的53%。值得注意的是上半年，损失金额上亿美元的事件4起中就有3起来自跨链桥。作为多链生态的重要基础设施，跨链桥一方面承担着巨量的资金流动，为用户带来了极大的便利，另一方面在安全性和去中心化水平上面临许多挑战，需要项目方提升安全、风控等能力。
交易平台
加密货币行业一直处在监管漩涡中，首当其冲的就是加密货币交易平台。交易平台发生的安全事故分析如下：以全球交易量最大的平台Binance为例，自2021年来，Binance已遭到数十个国家和地区的监管警告，包括欧洲、美洲、亚洲在内的多个地区。在全球强力监管信号下，Binance陆续在西班牙、法国、阿布扎比、迪拜、意大利、巴林等国家或地区获得了监管许可并进行了注册，逐步推进其合规化进程。
在上半年，全球共发生4起交易平台安全事件，损失超7770万美元，具体如下：
1月9日，LCX技术团队在LCX交易平台上检测到一个未经授权的访问，总共约794万美元的加密资产被盗。
1月17日，Crypto.com少数用户遭到未经授权提款，损失约3400万美元，包括4,836.26ETH、443.93BTC和约66,200美元的其他加密货币。
2月8日，LockBit勒索软件团伙称从加密货币交易平台PayBito窃取了大量客户数据。
2月12日，来自美国南达科他州提供自主退休金账户的IRAFinancialTrust对加密交易平台Gemini提起诉讼，指控称由Gemini保管的属于客户退休账户的3600万美元加密资产被盗。
慢雾安全团队建议各大交易平台健全内部管理与技术机制，通过引入安全审计机制、零信任机制、冷热资产安全解决方案等来加强对数字资产的安全保障。
其他
不法分子看中加密货币的匿名性，区块链已成为网络黑产的新风口，呈现出越来越明显的组织化与专业化趋势，“勒索”、“欺诈”及“盗窃”已成为加密货币巨大安全威胁。据中国人民银行支付结算司数据，2021年涉诈款项的支付方式中，利用加密货币进行支付仅次于银行转账，排名第二位，高达7.5亿美元；而2020年、2019年仅为1.3、0.3亿美元，逐年大幅增长的趋势明显。值得关注的是，加密货币转账在“杀猪盘”中增长迅速。2021年“杀猪盘”资金中1.39亿美元使用加密货币支付，是2020年的5倍、2019年的25倍。
攻击手法概览
以上187起安全事件中，攻击手法主要分为四类：由项目自身设计缺陷和各种合约漏洞引起的攻击；包含RugPull、钓鱼攻击等手法的Scam；由于私钥泄露引起的资产损失；前端恶意攻击，这四种主要攻击手法占比安全事件总数量的95%。
上半年由项目自身设计缺陷和各种合约漏洞引起的攻击共92起，造成损失10.6亿美元，其中利用闪电贷引起的攻击有19起，造成损失6133万美元。因私钥被盗引起的资产损失发生率约为4%，损失金额却达到7.2亿美元。随着Web3的火热发展，针对用户和开发人员的攻击层出不穷，尤其是针对Discord、Twitter等媒体平台的钓鱼攻击，黑客通常会在获取到管理员或者账户权限后，伪装成管理员身份并发布钓鱼链接。并且这些钓鱼网站的制作成本非常低，在对知名NFT项目进行Copy后，通过赠送、免费等字眼诱导用户授权，从而转移用户资产。而RugPull则是项目方主动作恶，上半年RugPull事件已达到42起，大部分发生在BSC链。
总结
尽管2022年区块链技术正在飞速发展并且逐渐完善，但层出不穷的加密货币攻击事件对区块链生态安全态势提出了新的挑战。从统计数据来看，上半年发生安全事件次数较多的月份主要在5、6月；从各生态来看，BSC上安全事件发生最多；从赛道来看，损失最多的是跨链桥。
对此慢雾安全团队建议：
对于机构和企业来说，最好能够建立全面的网络安全防护系统，防护从各个层次入侵的网络安全威胁，并通过威胁感知体系快捷获取病木马、钓鱼、网络安全预警、漏洞报告在内的安全情报，一旦发生安全威胁能够及时进行处理。
对于个人用户来说，遵守以下安全法则及原则，可以避免大部分风险：
两大安全法则：
零信任。简单来说就是保持怀疑，而且是始终保持怀疑。
持续验证。你要相信，你就必须有能力去验证你怀疑的点，并把这种能力养成习惯。
安全原则：
网络上的知识，凡事都参考至少两个来源的信息，彼此佐证，始终保持怀疑。
做好隔离，也就是鸡蛋不要放在一个篮子里。
对于存有重要资产的钱包，不做轻易更新，够用就好。
所见即所签。即你看到的内容就是你预期要签名的内容，当你签名发出去后，结果就应该是你预期的，绝不是事后拍断大腿的。
重视系统安全更新，有安全更新就立即行动。
不乱下程序。
在此，十分推荐阅读并掌握《区块链黑暗森林自救手册》。
区块链发展道阻且长，期望随着行业的不断完善，区块链可以迸发出更大的力量，走向更大的舞台
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。