2020攻擊事件總結：900億人民幣不翼而飛，2021我們如何遠離黑客？

CertiK

特邀专栏作者

2021-01-14 15:41 (UTC+8)

本文約4704字，閱讀全文需要約7分鐘

CertiK安全專家盤點了2020年較為典型的多個區塊鏈項目，分析了其受攻擊的原因和黑客使用的攻擊方式，以作為業內安全事故警示的參考。

AI總結

展開

CertiK安全專家盤點了2020年較為典型的多個區塊鏈項目，分析了其受攻擊的原因和黑客使用的攻擊方式，以作為業內安全事故警示的參考。

“如果那東西看上去像鴨子，走起路來也像鴨子，我們就說它是鴨子。”

這句來自某位政客所說的話被許多人奉為圭臬。

如同我們每一個人，很多時候我們對外界釋放出的信息都會再通過外界評價反饋和影響到自身。

這個道理不僅僅應用於某一個特殊領域，相反，它在所有事情上都可以找到痕跡。

區塊鏈發展日久，但對於很多人來說，它依舊是一個暗藏著騙局、跑路、黑客的法外之地。

人們心中的認知很難被其他信息所影響，當然，這也的確需要歸因於目前區塊鏈項目所受的攻擊愈發猛烈。

在鋪天蓋地的黑客事件中，想要扭轉人們對於區塊鏈的不安和抗拒只有依靠提高區塊鏈的安全標準，建立安全健康的區塊鏈生態。

同理，當整個區塊鏈不再受負面新聞所纏身時，這個“鴨子”也會變成有利的那一隻。

經統計，2020年傳統領域的網站及軟件安全率達到了97.5%，其中損失最大的一筆資產僅僅是接近5萬人民幣。

而區塊鏈領域內，智能合約及相關節點的安全率只有89%，且損失往往處於600萬至6,000萬人民幣之間，這是需要幾個大卡車都運不下的天價資產。

一次來自於區塊鏈領域的損失資產，也許就是傳統網絡損失資產的千倍以上。

因此，CertiK安全專家盤點了2020年較為典型的21個區塊鏈項目，分析了其受攻擊的原因和黑客使用的攻擊方式，以作為業內安全事故警示的參考。

在分析的這23個區塊鏈項目中，其中實現邏輯錯誤所導致的攻擊事件8起，價格預言機操縱事件4起，項目方欺詐事件3起，重入攻擊事件3起，閃電貸攻擊事件2起，錢包攻擊事件1起。

這些安全事故項目列表如下：

表1：2020年區塊鏈重大事故項目列表

圖一：2020年區塊鏈重大事故項目損失圖

二級標題

一級標題

二級標題

Cover Protocol

2020年12月28日晚， CertiK安全驗證團隊發現Cover Protocol發生代幣無限增發漏洞攻擊。

二級標題

Warp Finance

2020年12月17日，攻擊者利用Warp Finance項目使用的oracle計算質押的LP代幣資產價格錯誤的漏洞，從Warp finance項目中獲利約1462枚ETH代幣，總價值約615萬人民幣。

二級標題

Compounder.Finance

2020年12月1日下午3點，CertiK安全技術團隊通過Skynet發現Compounder.Finance項目智能合約發生數筆大量代幣的交易。

二級標題

SushiSwap

二級標題

Compound

二級標題

Pickle Finance

2020年11月22日凌晨2點37分，CertiK安全驗證團隊通過Skynet發現Pickle Finance項目遭到攻擊。

二級標題

Origin Protocol

二級標題

Cheese Bank

2020年11月16日，DeFi項目Cheese Bank遭到閃電貸攻擊。

二級標題

Value DeFi

2020年11月15日，DeFi項目Value Defi遭到閃電貸攻擊。

二級標題

Eminence

二級標題

GemSwap

二級標題

Soda Finance

2020年9月21日，CertiK安全研究團隊發現soda區塊鏈項目中存在智能合約安全漏洞。

二級標題

BASED

2020年8月14日，流動性挖礦項目Based出現初始化失誤造成的漏洞。

二級標題

YAM

二級標題

NUGS

2020年8月11日，CertiK安全研究團隊發現基於以太坊的代幣項目NUGS出現安全問題。

二級標題

Opyn

2020年8月4日，DeFi項目Oypn發生攻擊事件。

攻擊產生的原因是Opyn在智能合約oToken中的exercise函數出現漏洞。

二級標題

Cashaa

第一次攻擊發生於7月10日北京時間晚6點57分，Cashaa的比特幣錢包之一被盜用並向攻擊者賬戶轉移了1.05977049個BTC。

根據Cashaa報告中描述，攻擊者通過控制受害者電腦，操作受害者在Blockchain.info上的比特幣錢包，向攻擊者賬戶轉移BTC。

二級標題

Balancer

2020年6月29日凌晨2點03分，攻擊者利用從dYdX閃電貸中藉到的WETH，大量買進STA代幣，使得STA與其他代幣的兌換價格急劇上升。

然後使用最小量的STA（數值為1e-18）不斷回購WETH，並在每次回購後，利用Balancer的合約漏洞重置其內部STA的數量（數值為1e-18），以此穩住STA的高價位。

攻擊者不斷利用漏洞，用高價的STA將某一種代幣完全買空（WETH，WBTC, LINK和SNX），最終用WETH償還閃電貸，並剩餘大量STA,WETH，WBTC, LINK和SNX，並通過uniswap將非法所得轉移到自己賬戶中。

繼6月29日凌晨2點CertiK捕獲Balancer攻擊事件後，2020年6月29日20點與23點23分，Balancer項目再次遭到攻擊。

攻擊者從dYdX閃電貸中藉到代幣並鑄幣後，通過uniswap閃貸獲得cWBTC和cBAT代幣，然後將藉得的代幣在Balancer代幣池中大量交易，從而觸發Compound協議的空投機制，獲得空投的COMP代幣，再使用Balancer有漏洞的gulp()函數更新代幣池數量後，取走所有代幣並歸還閃電貸。

二級標題