PeckShield：2019年度區塊鏈安全復盤總結暨區塊鏈十大安全事件_ELD

如果說2018年，我們做區塊鏈安全擁有了“上帝視角”，那過去的2019年，我們則收獲了“圣母心態”。2018年，基于代碼技術底層，我們俯瞰交易所、錢包、礦池、DApp等生態各個環節，挖漏洞、搭態勢感知平臺、發威脅情報，向行業科普漏洞背后的技術原理，引領行業從一次次安全事件的“教育”中，加強安全防護，鞏固安全壁壘。2019年，通過滲透業務邏輯，我們深入智能合約、DeFi、地址溯源、暗網等不同產業底層，搭鏈上數據預警系統，搶先洞察安全威脅，深入社區協同開發者做應急響應，誓為行業發展掃平一切路障。據區塊鏈安全公司PeckShield數據顯示，2019年全年區塊鏈安全事件177起，造成的經濟損失高達76.79億美元，環比2018年增長了60%左右。過去一年，PeckShield敏銳觀察到：1）區塊鏈安全波及范圍面更廣了，從交易所到數字錢包，再到DeFi領域，越是離錢越近的地方，越會是黑客攻擊的重災區；2）開發者安全意識普遍有所提高，DApp、智能合約等原先存在的溢出、重放、隨機數等基礎型攻擊方式整體減少了，開發者安全防御普遍有所提高，倒逼黑客攻擊方式不斷演變；3）安全危機事發背后的原因越來越魔幻了，私鑰丟失、代碼預留后門、冷錢包被攻擊、創始人離奇死亡等花式“漏洞”亂花漸欲迷人眼，技術BUG易除，人性BUG難平；4）理財錢包詐騙、跑路事件等成為行業新患，基于普通大眾在區塊鏈技術上的認知盲區，不法分子炮制各類傳銷幣、模式幣、空氣幣攪亂行業風氣；5）交易所跨國境資產流動更加頻繁了，隨著數字資產的廣泛普及，區塊鏈生態頭號玩家“交易所”的中樞作用愈發凸顯，交易所之間資金流動的背后存在未監管資金大規模“出海”事實。交易所安全重回公眾視野

PeckShield：穩定幣USDN下降至0.92美元:金色財經報道，據PeckShield數據監測，穩定幣Neutrino USD（USDN）下降至0.92美元。[2022/9/14 13:28:22]

2019年05月08日，全球知名的交易所幣安被曝遭遇了黑客大規模系統性攻擊，黑客獲取了大量API密鑰，谷歌驗證2FA碼等信息，一次性提走了7,000枚BTC。這次突發的交易所安全事件，讓人聯想到去年3月份幣安的驚魂一夜，部分幣安用戶發現自己賬戶中的代幣被拋售，導致數字資產價格下跌10%。相比之下，今年幣安再遭一劫后，數字資產市場并沒有太大的波動，用戶在應對黑天鵝事件的心態正趨于成熟，且攻擊發生后，幣安創始人兼CEO趙長鵬隨即宣布通過SAFU進行全額賠付，很快將事件的負面影響平息了下來，最終，并沒有對二級市場造成太大沖擊。不過，這次事件暴露出了交易所安防面臨的挑戰尤為艱巨。幣安除了鞏固自身服務器安全之外，還得提防中間資產托管服務是否遭到木馬入侵，尤其是用戶客戶端遭劫持的情況下。這就倒逼交易所同樣需要從業務層加強審核機制，比如，自動化提幣額度分級，人工審核提幣等。事實上，在去年年底Upbit交易所被曝遭遇攻擊，損失了34萬ETH，再次給交易所安全敲響了警鐘，尤其是釣魚、API劫持、服務器木馬攻擊等等偶然性攻擊因素。這同時給市場提了一個醒，最大的安全風險可能不是來自企業防護層，而關系到每一個用戶的安全意識和操作習慣。DeFi安全成未來行業重災區

PeckShield：約900萬美元Nomad被盜資金已被歸還:8月3日消息，PeckShield在其社交平臺表示，已檢測到約 900 萬美元 Nomad 被盜資金已被歸還至 Nomad 提供的資金回收地址。[2022/8/3 2:56:16]

2019年，以太坊公鏈賽道跑出了DeFi這匹野馬，讓業界普遍認知到。區塊鏈技術基于DeFi金融應用場景獲得大規模落地應用的可能。目前DeFi應用中，以MakerDAO、Compound、dYdX、instaDApp等金融借貸平臺為主，主要滿足用戶抵押數字資產借貸穩定幣的需求，此外還發展出了諸如Synthetix、Augur等衍生品平臺。DeFi特有的類樂高積木似的可組合特性，讓DeFi賽道展現出超強的活力，很可能會是未來兩三年區塊鏈領域的焦點。DeFi產品基于智能合約和交互協議搭建，代碼普遍開源，資產完全在鏈上，極容易成為黑客攻擊的重心。今年05月07日，頭部DeFi借貸平臺MakerDAO被曝治理合約存在安全漏洞，PeckShield隨即介入參與，呼吁社區用戶盡快轉移暴露在危險下的MKR資產，同時獨立分析研究了漏洞細節，協助MakerDAO官方進行了漏洞修復，所幸最終并沒有產生任何攻擊損失。事實上，今年年初Compound、Nuo也先后被曝出過智能合約問題，在此后的半年時間內，Synthetix、0x協議、Edgeware等DeFi相關應用也被曝出存在潛在安全隱患。0x去中心化交易所協議合約在校驗訂單簽名時存在缺陷，受其影響一大批部署了0x協議的DEX平臺可能都存在潛在安全風險。不過，這些DeFi平臺在曝出安全威脅后，第一時間聯合安全公司進行了漏洞修復，最終并沒有產生較明顯的安全損失。但卻透露出一個危險信號，黑客已經盯上DeFi領域了。一旦DeFi平臺的資產抵押規模和受眾群體再上一個量級，這個領域很可能會是繼DApp之后的下一個安全事件多發區。理財錢包詐騙成行業新瘤

StarkWare零知識證明驗證程序ethSTARK已通過PeckShield安全審計:8月11日消息，區塊鏈安全公司PeckShield官方宣布，StarkWare公司零知識證明驗證程序ethSTARK已通過其全面安全審計服務。

ethSTARK是一個以太坊基金會支持的，由StarkWare公司開發的零知識證明（ZKP，Zero Knowledge Proof) 驗證程序，它實現了比現有ZKP算法更快的驗證速度，進一步提升了StarkWare在零知識證明領域的技術影響力。[2020/8/11]

2019年，PlusToken、TokenStore、OneCoin等理財錢包被曝跑路，卷走數百億數字資產，令數百萬投資者奔上了漫漫“維權路”。區塊鏈技術概念被一些不法分子包裝成低投入、高收入的理財模式，用來詐騙一些對區塊鏈行業認知欠缺的普通用戶。PlusToken號稱是一家在韓國注冊的加密幣錢包和交易所，其真實面目是一個用高回報吸引投資者的旁氏騙局。PlusToken許諾給投資者10%-30%的月息，并以高回報吸引大量投資者相繼投入了20萬枚BTC，78萬枚ETH，和2,600萬EOS等價值不菲的數字資產，涉及資金達到200多億人民幣，用戶超300余萬人，影響范圍非常廣且危害巨大。2019年6月29日，PlusToken用戶反饋無法提幣，項目方也被媒體曝光跑路，隨后又傳出六名主要負責人被中國逮捕。然而，其涉及的巨額贓款仍沒有追回并返還受害者。在隨后的數月內，PlusToken的BTC資產、ETH資產，EOS資產出現多次洗錢操作。PeckShield旗下可視化資產追蹤平臺CoinHolmes監控到，PlusToken的部分資產開始匯聚、分散轉移，再通過類似ChipMixer的工具進行混淆，再通過場外OTC的渠道賣出。但目前而言，只有少部分資金被洗成功了，大部分數字資產依然懸而未決，以至于一旦出現行情不明緣由大跌的情況，就有分析稱是PlusToken砸盤。PlusToken效應如同股市里的丁蟹效應一樣，成了大家畏懼的存在。不過，客觀來看，理財錢包的出現，能讓一部分普通用戶接觸到區塊鏈以及各類數字資產，給行業帶入新的流量和資金。短期看對行業是利好影響。然而，長期來看恰恰相反，隨著這類理財錢包的崩盤和跑路，大批的普通用戶會成為受害者，帶著偏見和認知差可能會永遠的告別這個行業。凡是過往，皆為序章。盡管過去三年以來，區塊鏈行業安全事件造成的經濟損失呈愈演愈烈之勢。我們通過黑客攻擊方式的演變以及生態目前面臨的安全威脅發現，區塊鏈行業安全正在從草莽期逐漸趨向成熟，表現在：1）出現了一批優秀的區塊鏈安全公司。他們專注于區塊鏈安全攻防，為行業生態提供專業的安全監測、態勢感知、威脅情報、AML可視化等專業化工具，和躲在區塊鏈黑暗森林的黑客，形成了一支相抗衡的正義力量;2）智能合約、DApp生態上一些簡單且具有連帶威脅的漏洞正逐漸減少。盡管黑客們仍持續進行撒網式的攻擊嘗試，但項目開發者基礎的安全攻防意識已初步形成，一些較為低級的安全漏洞明顯有所減少;3）交易所、理財錢包等離用戶比較近的平臺成為安全事件頻發的重災區，這是由于行業發展早期，用戶端安全意識薄弱造成的隱患。比如針對用戶進行的釣魚木馬入侵和高理財收益詐騙等。換個角度來看，說明區塊鏈市場的安全薄弱環節從B端已經轉移到了C端，安全守護工作逐漸變得可控、可防也是一種進步；4）數字資產“合規化”引領下一輪行業發展。一方面，國家頂層設計將區塊鏈技術定義為核心技術突破口，另一方面未受監管的數字資產數額越來越大。區塊鏈數字資產領域開始面臨“合規化”的新挑戰。包括，交易所KYT服務、AML反洗錢服務、黑客贓款追蹤服務等等。短期看，監管肅清可能會給生態帶來致命打擊，但長期看，被納入監管或許是下一輪高速發展的開端。附：2019年度區塊鏈十大安全事件

動態 | PeckShield預警:黑客利用EOS系統帳號onerror特性惡意挖礦:今日下午，PeckShield安全盾風控平臺DAppShield監測到黑客向系統合約發起連續攻擊，劫持延遲交易執行失敗時系統合約調用的onerror動作，進行惡意挖礦EIDOS，目前攻擊仍在持續進行中。PeckShield安全人員分析發現，有黑客利用延遲交易執行失敗時，系統合約 eosio 會調用用戶合約的 onerror 接口的特性，在合約的 onerror 接口中嵌入惡意挖礦操作。與之前利用系統合約的短帳號競拍功能挖礦相比，該攻擊同樣利用系統帳號擁有無限制的CPU資源的同時，成本更低。因此，該攻擊的蔓延會進一步加劇EOS網絡的擁堵狀況。[2019/11/12]

聲音 | PeckShield創始人蔣旭憲：區塊鏈安全問題存在與傳統互聯網安全問題相結合的地方:據PANews消息，PeckShield創始人蔣旭憲在接受采訪時表示，區塊鏈不是一個全新的技術，只是一些已知的技術重新有機整合。所以有很多安全問題存在跟傳統互聯網安全問題相結合的地方，這個結合的地方會出現一些新的獨特視角。但同時區塊鏈安全問題有意思的地方在于，因為區塊鏈有相對的隱私性，那些勒索軟件就會利用這一特性來讓自己變得無法被追蹤，這個問題隨著區塊鏈的普及也會產生新的攻防。但這以前是不存在的，以后會越來越多。[2019/1/23]

Tags：區塊鏈SHIELDSHIELD區塊鏈的幾個大騙局有哪些Yooshiba InuYieldificationMoonshield Finance

以太坊價格今日行情