Beosin報告：2023年上半年Web3區塊鏈安全態勢分析
原文來源：
原文來源：Beosin
前言
前言
原文來源：前言
此處此處隨著全球數字化進程的不斷加速，區塊鏈技術作為一種新興的去中心化交易方式，正逐漸成為數字經濟的核心基礎設施之一。然而，隨著區塊鏈應用場景的不斷拓展，其面臨的安全風險也在逐步增加。在這樣一個背景下，了解Web3 區塊鏈安全態勢及加密行業監管政策，成為保障區塊鏈應用安全和穩定的必要措施之一。
此處
2023 年上半年Web3 領域因黑客攻擊、釣魚詐騙和項目方Rug Pull 造成的總損失達到了6 億5561 萬美元。2023 年上半年Web3 領域因黑客攻擊、釣魚詐騙和項目方Rug Pull 造成的總損失達到了6 億5561 萬美元。查閱（數據截止6 月25 日）
一、 2023 第一季度Web3 安全態勢綜述
2023 年上半年Web3 領域因黑客攻擊、釣魚詐騙和項目方Rug Pull 造成的總損失達到了6 億5561 萬美元。2023 年上半年Web3 領域因黑客攻擊、釣魚詐騙和項目方Rug Pull 造成的總損失達到了6 億5561 萬美元。
其中攻擊事件108 起，總損失金額約4 億7143 萬美元；釣魚詐騙總損失金額約1.08 億美元；項目方Rug Pull 事件110 起，總損失約7587 萬美元。Web3 領域黑客攻擊事件的總損失金額較去年有了大幅度下降。 2022 年上半年攻擊總損失約19.1 億美元， 2022 年下半年約16.9 億美元，而2023 上半年該數值下降到了4.7 億美元。
從被攻擊項目類型來看，DeFi 依舊是被攻擊頻次最高、損失金額最多的類型。 85 次DeFi 安全事件總損失金額達到了2.92 億美元，佔總損失金額的62% 。
從鏈平台類型來看，75.6% 的損失金額來自Ethereum，約3.56 億美元，居所有鏈平台的第一位。
從攻擊手法來看（按根本原因進行統計），最頻發、造成損失最多的攻擊手法為合約漏洞利用。 60 次合約漏洞事件造成損失2.64 億美元，佔所有損失金額的56% 。
從審計情況來看，
二級標題
被攻擊的項目中，約有49% 的項目沒有經過審計。
與黑客攻擊事件較2022 年下降的趨勢相反的是，對普通用戶而言，釣魚詐騙和項目方Rug Pull 事件在2023 年上半年更加頻發。據不完全統計，這兩類事件涉及總金額達到了至少1.84 億美元。由於釣魚門檻技術的降低（例如可以通過一些渠道向釣魚團夥購買惡意工具包，賺取利潤後進行分成），導致2023 年上半年釣魚詐騙事件大幅增加，成為威脅Web3 用戶安全的主要原因。
二級標題
二級標題
108 起攻擊事件造成損失4 億7143 萬美元
2023 年上半年，Beosin EagleEye 安全風險監控、預警與阻斷平台共監測到Web3 領域主要攻擊事件108 起，總損失金額達4 億7143 萬美元。其中損失金額超過1 億美元的安全事件共1 起，損失在1000 萬美元- 1 億美元區間的事件共7 起， 100 萬美元- 1000 萬美元區間的事件23 起。
損失金額超過千萬美元的攻擊事件（按金額排序）：
● Euler Finance - 1.97 億美元
3 月13 日，DeFi 協議Euler Finance 遭到攻擊，損失達到了1.97 億美元。 4 月4 日，Euler Labs 在推特上表示，經過成功協商，攻擊者已歸還了所有盜取資金。
● Atomic Wallet - 6700 萬美元
6 月3 日，多名Atomic Wallet 用戶在社交媒體發文稱自己的錢包資產被盜，統計發現被盜金額至少達到了6700 萬美元。黑客已將被盜資金通過混幣平台Sinbad 進行了清洗，被攻擊原因仍在調查中。
● MEV attack - 2500 萬美元
4 月3 日，多個MEV 機器人遭受惡意三明治攻擊，總共損失約2500 萬美元。
● Bitrue - 2400 萬美元
4 月14 日，加密交易所Bitrue 熱錢包遭受攻擊，損失達2400 萬美元。
● FPG - 2000 萬美元
6 月11 日，加密貨幣經紀公司Floating Point Group (FPG）遭到網絡攻擊，損失約2000 萬美元的加密貨幣。
● GDAC - 1300 萬美元
4 月13 日，Yearn Finance 的yusdt 合約遭受黑客攻擊，黑客獲利超1000 萬美元。
二級標題
● MyAlgo Wallet - 1120 萬美元
2 月，MyAlgo 錢包遭到中間人攻擊，損失達1120 萬美元。
二級標題
二級標題
85 次DeFi 安全事件造成2.92 億美元損失
錢包攻擊事件帶來了約7820 萬美元的損失，金額佔所有項目類型的第二位。其中Atomic Wallet 攻擊事件至少損失了6700 萬美元，MyAlgo 錢包攻擊事件損失為1120 萬美元。
二級標題
排名第三的項目類型為交易所，損失約5014 萬美元。交易所攻擊事件在2022 年全年數據裡損失排名也是第三位，今年延續了攻擊頻發趨勢。
跨鏈橋項目在2022 年損失金額排名第一（18.9 億美元），而在2023 年上半年損失大幅下降到了138 萬美元。
二級標題
二級標題
BNB Chain 上監測到了最多的攻擊事件，達到了58 起，攻擊事件總數佔所有事件的53.7% 。 BNB Chain 上發生的58 次攻擊事件裡，有40 個被攻擊項目都未經審計。
二級標題
Arbitrum 鏈上共發生7 次攻擊事件，造成損失約1671 萬美元，安全事件損失金額和數量與2022 年相比有所增加（Arbitrum 在整個2022 年只發生過兩次主要的安全事件）。
2022 年Solana 鏈上損失金額排所有公鏈的第三位，而在2023 年上半年並未監測到主要攻擊事件。
二級標題
二級標題
合約漏洞利用最頻發、損失金額最多
* 說明：多種攻擊手法並存時，以根本原因為準進行分類。信息不足或項目方未公佈原因的攻擊事件分類至「暫不清晰」
約有1 億美元的安全事件攻擊手法暫不清晰，其中包括Atomic Wallet 錢包被盜6700 萬美元、加密貨幣經紀公司FPG 被攻擊2000 萬美元等事件。此類事件涉及金額大，影響用戶眾多。建議此類項目方在進行事件原因調查的同時，應積極和第三方安全公司進行合作，及時公佈調查結果，採取必要的修復措施，對用戶資產安全肩負起責任。
6.1 Euler Finance 安全事件
另外，還有7 次私鑰洩露事件造成了約2767 萬美元的損失。在2022 年，私鑰洩露損失也是居所有攻擊類型的第三位。私鑰洩露事件一直持續威脅著項目方安全。從一些事件披露來看，加強核心成員的職業道德和安全意識管理尤為重要。
按照漏洞類型細分，造成損失最多的前三名分別是業務邏輯缺陷、權限問題和重入。 36 次業務邏輯漏洞共造成了約2.39 億美元的損失，佔所有因合約漏洞攻擊損失的90% 。此類漏洞是開發者最容易遺漏的問題，被攻擊後造成的損失往往較大，有9 起事件的損失金額都超過了100 萬美元。建議項目方尋找富有經驗的專業審計公司進行審計。
六、典型案例攻擊手法分析
6.1 Euler Finance 安全事件
3 月16 日，Euler 基金會懸賞100 萬美元以徵集對逮捕黑客以及返還盜取資金有幫助的信息。
漏洞分析：從3 月18 日開始至4 月4 日，攻擊者開始陸續返還資金。期間攻擊者通過鏈上信息進行道歉，稱自己「攪亂了別人的錢，別人的工作，別人的生活」並請求大家的原諒。
6.2 BonqDAO 安全事件
漏洞分析：
漏洞分析：6.2 BonqDAO 安全事件
6.3 Platypus Finance 安全事件
2 月1 日，加密協議BonqDAO 遭到價格操控攻擊，攻擊者鑄造了1 億個BEUR 代幣，然後在Uniswap 上將BEUR 換成其他代幣，ALBT 價格下降到幾乎為零，這進一步引發了ALBT寶庫的清算。按照黑客攻擊時的代幣價格，損失高達8800 萬美元，但是由於流動性耗盡，事件實際損失在185 萬美元左右。
漏洞分析：
6.3 Platypus Finance 安全事件
2 月23 日，Platypus 表示，已經聯繫了Binance 並確認了黑客身份，並表示將至少向用戶償還63% 的資金。
2 月26 日，法國國家警察已經逮捕並傳喚了兩名攻擊Platypus 的嫌疑人。
閃電貸攻擊如何防範？ Avalanche 鏈上Platypus 項目損失850 萬美元攻擊事件分析
2023 年4 月13 日，Yearn Finance 的yusdt 合約遭受黑客閃電貸攻擊，黑客獲利超1000 萬美元。 yUSDT 疑似在1000 多天前部署時便被錯誤配置，錯誤地使用了Fulcrum iUSDC 部署，而不是Fulcrum iUSDT。
5 月26 日，Yearn 攻擊者已將4134 枚ETH 轉入Tornado Cash。漏洞分析：
被盜超1000 萬美元，Yearn Finance 如何被黑客「盯上」？七、反洗錢典型事件分析回顧Beosin KYT據區塊鏈安全審計公司Beosin 旗下Beosin EagleEye 安全風險監控、預警與阻斷平台監測顯示，
Atomic Wallet 於今年6 月初遭攻擊，據Beosin 團隊統計，綜合鏈上已知的受害人報案信息，此次攻擊造成的損失至少約6700 萬美元。
我們將
深入探討這起黑客盜竊案的資金清洗細節，並使用
虛擬資產反洗錢合規和分析平台，對黑客的洗錢套路進行追踪和分析。
事件綜述
根據Beosin 團隊分析，此次被盜事件截止目前涉及的鏈包括BTC、ETH、TRX 在內總共21 條鏈。被盜資金主要集中在以太坊鏈。其中：
以太坊鏈
已查出被盜資金為16262 個ETH 價值的虛擬貨幣，約3000 萬美元。
波場鏈
波場鏈已知被盜資金為251335387.3208 個TRX 價值的虛擬貨幣，約1700 萬美元。
BTC 鏈
BTC 鏈已知被盜資金為420.882 個BTC 價值的虛擬貨幣，折合1260 萬美元。
其餘鏈
以太坊
以太坊
XRP： 1676015 個XRP，約84 萬美元
LTC： 2839.873689 個LTC，約22 萬美元
以太坊
以太坊
在黑客對贓款的操作中，以太坊被攻擊鏈路上有兩種主要的方式：
1、通過合約進行發散後利用Avalanche 跨鏈洗錢以太坊鏈路簡圖如下：
二級標題
一場涉及至少6000 萬美元的錢包被盜案，Beosin KYT 帶你拆穿黑客洗錢套路
2023 年上半年，Beosin KYT二級標題
二級標題
45.5% 的被盜資產得以追回
2023 年上半年，
約有1.13 億美元的被盜資產轉入了混幣器。其中轉入Tornado Cash 約4538 萬美元，其他混幣平台約6814 萬美元。自2022 年8 月Tornado Cash 受到美國OFAC 制裁後，黑客使用Tornado Cash 進行混幣的總金額大幅減少，而其他混幣平台的使用率明顯增加，如FixedFloat、Sinbad 等。
十、Rug Pull 分析
九、項目審計情況分析
審計和未審計項目比例大致相當，在108 個被攻擊項目中，經過審計的項目為51 個，未經審計的項目為53 個，比例大致相當。該比例與2022 年情況也大體一致。
在經過審計的51 個項目裡，有31 個項目（60% ）被攻擊原因來自合約漏洞利用。該比例高於去年的45 %，整個審計市場的質量依舊不容樂觀。建議項目方一定要尋找專業的安全公司進行審計。
十、Rug Pull 分析
110 起Rug Pull 事件捲走7587 萬美元
2023 年上半年，Web3 領域共監測到主要Rug Pull 事件110 起，涉及金額約7587 萬美元。
從金額來看， 14 起（12.7% ）Rug Pull 事件金額在100 萬美元之上， 10 萬至100 萬美元區間的事件共41 起（37.3% ）， 10 萬美元以下的事件共55 起（50 % ）。涉及金額最大的Rug Pull 事件為Fintoch 項目，該項目捲走了約3160 萬美元的資產。
從鏈平台來看，BNB Chain 上發生了80 起Rug Pull 事件，涉及金額5337 萬美元，遠遠高於其他的公鏈。2023 上半年安全態勢總結總體而言，Web3 領域黑客攻擊事件的總損失金額較2022 年有了大幅度下降。 2022 年上半年攻擊總損失約19.1 億美元， 2022 年下半年約16.9 億美元，而2023 上半年該數值下降到了4.7 億美元，並且其中約有2.15 億美元的被盜資產得以追回。黑客攻擊呈現大幅放緩趨勢，促成這一現象的主要原因有：全球監管體系的逐步完善、執法力度的加大、項目方安全意識的提升、混幣器Tornado Cash 被制裁、AML 反洗錢技術和程序的完善等。另外，也出現了依靠社區力量，通過鏈下情報對黑客身份進行定位並迫使黑客返還的案例。
即便黑客攻擊大幅放緩，合約安全問題依舊不能忽略。2023 年上半年，最頻發、造成損失最多的攻擊手法為合約漏洞利用。
60 次合約漏洞事件造成了2.64 億美元的損失，其中絕大多數被利用的漏洞是業務邏輯問題。一些較為複雜的業務邏輯漏洞，需要經驗豐富的專業審計公司才能發現。
