Beosin：2024年Q1 Web3區塊鏈安全態勢與反洗錢分析回顧
原文作者：Beosin 研究團隊Mario、田大俠Donny
原文來源：Beosin
一、 2024 年Q1 Web3區塊鏈安全態勢綜述
據Beosin Alert 監控及預警顯示，2024 年第一季度Web3 領域因駭客攻擊、釣魚詐騙和專案方Rug Pull 造成的總損失達到了7.78 億美元。其中主要攻擊事件39 起，總損失金額約6.17 億美元；項目方Rug Pull 事件43 起，總損失約7,550 萬美元；釣魚詐騙總損失金額約8,624 萬美元。
2024 年第一季度總損失約7.78 億美元，年增約126% ，季增約72% 。其中黑客攻擊事件損失金額高於2023 年的任何一個季度。
2 月的總損失金額達到了4.22 億美元，為2024 年第一季度損失金額最高的月份。
從被攻擊項目類型來看，遊戲平台首次成為損失金額最高的項目類型。 6 次針對Web3 遊戲平台的攻擊共造成了3.65 億美元的損失，佔所有攻擊損失金額的59% 。
從各鏈損失金額來看，Ethereum 依舊為損失金額最高、攻擊事件最多的鏈。 18 次Ethereum 上的攻擊事件造成了3.42 億美元的損失，佔了總損失的55.4% 。
從攻擊手法來看，本季共發生13 次私鑰洩漏事件，造成損失達到了4.58 億美元，佔了總攻擊損失金額的74.3% ，是佔比最高的攻擊類型。
從資金流向來看，本季大部分被盜資產被凍結和追回。約有3.03 億美元（49.2% ）被盜資金被凍結， 7,945 萬美元（12.9% ）被盜資金被追回。
從審計情況來看，被攻擊的項目中，經過審計的項目方比例增加。
二、 2024 年Q1攻擊事件總覽
39 起主要攻擊事件共造成損失6 億1,670 萬美元
2024 年第一季，Beosin Alert 共監控到Web3 領域主要攻擊事件39 起，總損失金額達6 億1,670 萬美元。其中損失金額超過1 億美元的安全事件共2 起，損失在1000 萬美元- 1 億美元區間的事件共5 起， 100 萬美元- 1000 萬美元區間的事件21 起。
損失金額超過千萬美元的攻擊事件（按金額排序）：
PlayDapp - 2.9 億美元
攻擊方式：私鑰外洩鏈平台：Ethereum
2 月9 日，區塊鏈遊戲平台PlayDapp 遭到攻擊，駭客地址鑄造了2 億枚pla 代幣，價值3,650 萬美元。而後PlayDapp 與駭客談判失敗，駭客在2 月12 日鑄造了15.9 億枚PLA 代幣，價值2.539 億美元，並將部分資金送到Gate.io 交易所。事後專案方將PLA 合約暫停，並將PLA 代幣移至了PDA 代幣。
Chris Larsen (Ripple 共同創辦人) - 1.12 億美元
攻擊方式：私鑰外洩鏈平台：XRP
1 月31 日，Ripple 聯合創始人Chris Larsen 表示，自己的四個錢包遭到駭客攻擊，總共被盜約1.12 億美元。幣安團隊已成功凍結了攻擊者竊取的價值420 萬美元的XRP。
Munchables - 6,230 萬美元
攻擊方式：社會工程鏈平台：Blast
3 月26 日，基於Blast 的Web3 遊戲平台Munchables 遭遇攻擊，損失約6,250 萬美元。疑似項目方因僱用北韓駭客為開發者而遭受攻擊。事後所有被盜資金已由駭客歸還。
FixedFloat - 2610 萬美元
攻擊方式：安全結構漏洞鏈平台：Ethereum
2 月17 日，加密交易所FixedFloat 遭遇攻擊，損失約2,610 萬美元，駭客已將大部分被盜資金轉移到了eXch 交易所。 2 月20 日，FixedFloat 表示，此事攻擊」不是我們的員工所為，而是由我們安全結構漏洞引起的外部攻擊「。
Curio Ecosystem - 1600 萬美元
攻擊方式：合約漏洞- 存取控制漏洞鏈平台：Ethereum
3 月23 日，RWA 基礎設施Curio Ecosystem 遭受攻擊，損失約1,600 萬美元。
Somesing - 1158 萬美元
攻擊方式：私鑰外洩鏈平台：Klaytn
1 月27 日，韓國Web3 社群音樂服務遭受攻擊，損失了7.3 億枚原生代幣SSX，價值1,158 萬美元。
Jihoz.ron (Ronin 共同創辦人) - 1000 萬美元
攻擊方式：私鑰外洩鏈平台：Ronin
2 月23 日，Ronin 聯合創始人jihoz.ron 的兩個地址因私鑰洩露而損失約1,000 萬美元。
三、被攻擊項目類型
遊戲平台首次成為損失金額最高的項目類型
本季損失最高的項目類型為遊戲平台， 6 次針對Web3 遊戲平台的攻擊共造成了3.65 億美元的損失，佔所有攻擊損失金額的59% 。遊戲平台首次成為損失金額最高的被攻擊項目類型。
排在第二位的受害者類型為個人錢包。兩次個人錢包被盜事件造成了1.225 億美元的損失。這兩起個人錢包被盜事件均為知名專案方共同創始人被盜（Ripple 聯創和Ronin 聯創）。
39 次黑客攻擊事件中，共有17 起事件發生在DeFi 領域，佔比約43.6% 。這17 次DeFi 攻擊事件共導致了3,996 萬美元的損失，排在所有項目類型的第三位。
其他被攻擊的項目類型還包括：DEX、基礎設施、支付平台、Web3音樂平台等。
四、各鏈損失金額狀況
Ethereum 為損失金額最高、攻擊事件最多的鏈
和2023 年相同的是，Ethereum 依舊是損失金額最高的公鏈。 18 次Ethereum 上的攻擊事件造成了3.42 億美元的損失，佔了總損失的55.4% 。
損失金額排名第二的公鍊為XRP，來自一次Ripple 聯合創始人Chris Larsen 錢包被盜事件。
損失金額排名第三的公鍊為Blast 。 3 次Blast 鏈上的攻擊事件共造成6,750 萬美元的損失。Blast 鏈在各大新興公鏈中損失金額排名第一位。
本季BNB Chain 僅發生了4 次主要安全事件，損失約801 萬美元，損失金額和事件數量排名都較2023 年大幅下降。
五、攻擊手法分析
74.3% 的損失金額來自私鑰洩漏事件
本季共發生13 次私鑰外洩事件，造成損失達到了4.58 億美元，佔了總攻擊損失金額的74.3% 。和2023 年相同，私鑰外洩事件造成的損失依舊是所有攻擊類型的第一位。造成較大損失的私鑰外洩事件有：PlayDapp（2.9 億美元）、Ripple 共同創辦人Chris Larsen（1.12 億美元）、Somesing（1,158 萬美元）、Ronin 共同創辦人Jihoz.ron（1,000 萬美元） 。
39 起攻擊事件中，有21 起來自合約漏洞利用，總損失達6,556 萬美元，排名第二。
損失金額排名第三的攻擊手法為社會工程攻擊， 3 次社會工程攻擊造成損失約6,500 萬美元。
依漏洞細分，造成損失前三名的漏洞分別為：算法缺陷（2,278 萬美元）、存取控制漏洞（1,632 萬美元）、業務邏輯漏洞（1,128 萬美元）。出現次數最高的漏洞分別為業務邏輯漏洞， 21 起合約漏洞攻擊中有7 次是業務邏輯漏洞。
六、反洗錢典型事件分析回顧
Atom Asset (AAX) 逃避反洗錢（AML）分析
近期，一家已倒閉的香港交易所Atom Asset (AAX) 開始將資金從其錢包轉移到各種去中心化交易所和中心化平台，據稱是為了逃避反洗錢（AML）控制。在被發現之前，最後一次已知的涉及AAX 交易所錢包的交易發生在2023 年10 月和2022 年11 月。在倒閉之前，AAX 是香港最大的加密貨幣交易所之一，擁有超過200 萬用戶。
根據Beosin 團隊的分析，發現自2024 年1 月29 日起，AAX 交易所開始將25100 枚ETH 從其交易所錢包向外轉移，其中轉移資金共分了三筆，分別是一筆500 ETH、一筆600 ETH、一筆24000 ETH。轉移資金依當前價格換算超7,400 萬美元。
AAX 交易所事件來龍去脈
2022 年11 月13 日，就在加密貨幣交易所FTX 申請破產後兩天，AAX 也因交易對手風險曝光而停止提款並清除了所有社交管道。最初，AAX 將凍結歸因於針對涉嫌惡意攻擊的安全措施。
2022 年11 月15 日，AAX 交易所發布聲明表示其平台需要進行維護，除暫停提現外，將對衍生性商品進行自動清算。此後，AAX 停止了平台運作和社群媒體的更新。
而蹊蹺的事就在於：沉寂426 天后，AAX 交易所錢包開始活動，開始有大額資金開始轉出至其它地址，嘗試躲避AML 工具的識別和監控！
link: https://etherscan.io/address/0x56c1319b31a5316a327bd889d58c8633b204536c
AAX 交易所事件鏈上資金分析
Beosin KYT 反洗錢分析平台對AAX 交易所錢包近期的鏈上活動進行了深入研究，發現了一系列風險活動。首先，所有的25100 枚ETH 已被轉移，操作人員採取了各種手段將部分ETH 兌換為USDT，然後通過跨鏈橋將資金轉移到不同的區塊鏈上，以進行資金的清洗。
Beosin KYT 反洗錢平台
其中，大部分資金被轉移到了Tron 區塊鏈上，並通過一些地址進行中轉，然後沉澱在某些地址中，未曾轉移。這種行為顯示了明顯的逃避AML 的企圖，試圖掩蓋資金的真實來源和去向。
Beosin KYT 反洗錢平台
香港警方針對詐騙活動迅速採取行動，逮捕了兩名與AAX 相關的人員，目前正在努力繪製轉移資金的路徑並找回受影響用戶的資產。
AAX 交易所利用去中心化交易所、加密貨幣兌換和跨鏈橋等技術手段，試圖模糊資金流動的路徑和來源。這為監管機構和AML 分析平台帶來了巨大的挑戰。
七、被竊資產的資金流向分析
大部分被盜資產被凍結和追回
根據Beosin KYT 反洗錢平台分析顯示， 2024 年第一季被盜的資金中，約有3.03 億美元（49.2% ）被盜資金被凍結， 7945 萬美元（12.9% ）被盜資金被追回。該比例大大高於2023 年。
約有1.055 億美元的被盜資金轉入了各交易所，佔比約17.1% 。和2023 年相比，今年駭客向交易所轉入被盜資金的比例大幅增加。這為交易所反洗錢和合規性提出了更高的要求。
共有3,012 萬美元（4.9% ）轉入了混幣器： 2,990 萬美元轉入了Tornado Cash；21.6 萬美元轉入了其他混幣器。和去年相比， 2024 年第一季透過混幣清洗的被盜資金大幅減少。
八、專案審計情況分析
經過審計的項目方比例增加
39 起攻擊事件裡，有12 起事件的專案方沒有經過審計， 24 起事件的專案方經過了審計。經過審計的專案方比例略高於2023 年，這顯示整個Web3 產業專案方對安全的重視程度提高了。
12 個沒有經過審計的項目中，合約漏洞事件佔了8 起（66.7% ）。相較之下，在 24 個經過審計的項目中，合約漏洞事件佔了13 起（54.2% ）。這顯示出審計在一定程度上能夠提高項目的安全性。
九、Rug Pull 分析
43 起Rug Pull 事件共損失7,550 萬美元
2024 年第一季，共監測到專案方Rug Pull 事件43 起，涉及金額達7,550 萬美元。
損失金額排名前5 名的Rug pull 事件為：Bitforex（5,650 萬美元）、Hector Network（270 萬美元）、MangoFarm（200 萬美元）、OrdiZK（140 萬美元）、RiskOnBlast（130 萬美元）。這5 起Rug Pull 事件分佈在Ethereum、Fantom、Solana 和Blast 四條鏈。
Ethereum 鏈上總共Rug Pull 涉及金額達到了5968 萬美元，佔總損失的79% 。 BNB Chain 鏈上發生了最多的Rug Pull 事件，共29 次，佔總事件數量的67.4% 。
十、 2024 年Q1 Web3區塊鏈安全態勢總結
和上個季度相比， 2024 年第一季度因黑客攻擊、釣魚詐騙、專案方Rug Pull 造成的總損失大幅上升，達到了7.78 億美元。本季幣價上漲因素對總金額的增加有一定的影響，但整體而言，Web3 安全領域情況仍不容樂觀。
本季造成危害最大的攻擊類型為私鑰洩露，約74.3% 的損失金額來自自私鑰洩漏事件，這一趨勢和2023 年數據一致。從專案類型來看，私鑰外洩事件遍及Web3各個領域：遊戲平台、DeFi、個人錢包、基礎設施、NFT、支付平台、博弈平台、資料儲存平台等。各個Web3專案方/個人用戶都需要提高警惕，離線儲存私鑰、使用多重簽名、謹慎使用第三方服務、對特權員工進行定期安全培訓。
本季大部分資產被凍結和追回，這標誌著全球監管體系的完善和反洗錢力度的加強。本季駭客向交易所轉入被盜資金的比例也大幅增加，這需要交易所及時識別黑客行為，積極配合執法機構和專案方凍結資金和進行調證。目前交易所和執法機構、專案方、安全團隊的合作已經有了較為明顯的成果，相信未來會有更多被盜資金能夠追回。
本季39 起攻擊事件中，仍有21 起來自合約漏洞利用，建議專案方在上線前尋求專業的保全公司進行審計。Beosin 作為一家全球領先的區塊鏈安全公司，致力於Web3生態的安全發展，已審計智能合約和公鍊主網超3000 份，作為一家可信賴的區塊鏈安全公司，可以為項目方提供卓越的安全審計服務。
