創宇區塊鏈7月安全月報-ODAILY_ANC

前言

七月隨著幣價的回升，安全事件也變的頻繁發生，攻擊者在本月也是“火力全開”，從各個方面進行攻擊。據知道創宇區塊鏈安全實驗室數據顯示：該月發生的安全事件超43起，其中跑路騙局和釣魚造成的單個損失也愈發嚴重，代表事件為UniswapV3釣魚攻擊和DRACNetwork的RugPull，而月初DeFi協議CremaFinance被攻擊造成的損失尤為慘重。本月安全事件造成的損失總金額共計約29,000,000美元。

通過對本月各類型安全事件的數量和占比分析，不難發現網絡釣魚安全事件仍然占比最多。再次提醒大家要對網絡釣魚提高警惕，可借助一些工具來減少被釣魚的風險，如：FishAlert插件，可減少被釣魚風險。

本月安全事件對比6月數量雖然略有下降，但整體局勢仍處在安全事件高發期。再此提醒大家，對于安全應持續提高安全意識，保持對安全問題的敏銳性。

以下是知道創宇區塊鏈安全實驗室對七月各類型安全資訊的總結，并就其暴露出的問題進行探討。

DeFi安全類型事件

?7月3日，Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

1inch公布新里程碑：Polygon網絡上用戶數達140萬:金色財經報道，1inch Network在推特上公布了新的重要里程碑，即在Polygon網絡上擁有140萬用戶。盡管1inch是一個多鏈價格聚合器，但它最初是建立在以太坊協議上的，該DEX現在已上線多個協議，包括Polygon、Arbitrum、Fantom、BNB Chain和Avalanche等。

在撰寫本文時，1INCH在過去24小時內上漲了5.74%，在過去7天內上漲了19.32%，在今年迄今的漲幅達到65.21%。（U.Today）[2023/2/21 12:20:01]

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

巴西數字銀行Nubank計劃于明年發行平臺幣Nucoins:金色財經報道，巴西數字銀行Nubank計劃于2023上半年發行平臺加密Token Nucoins。據悉，Nubank目前擁有超過 7000 萬客戶，平臺Token Nucoins將基于 Polygon網絡，預計持有Nucoins將為用戶帶來包括手續費抵扣在內的諸多福利。[2022/10/19 16:30:23]

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

?7月3日，Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

Kanye West同意收購Web3 社交媒體平臺Parlement Technologies:10月18日消息，美國說唱歌手Kanye West已同意收購Web3 社交媒體平臺Parlement Technologies（Parler），據悉這筆收購交易預計將在2022年第四季度完成，包括收購Parler應用程序（Parler目前已從Google Play和Apple App Store中下架）、以及基于Solana的NFT市場和安全云服務DeepRedSky、以及全資子公司Dynascale Inc.的母公司。據悉，此前Kanye West因不當言論遭到Twitter和Instagram禁言。（businesscloud）[2022/10/18 17:30:36]

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

數據：ETH市值占比為19.2%，較6月份低點增漲超5%:金色財經消息，據CoinMarketCap最新數據顯示，當前ETH市值占比為19.2%，相比此前6月19日的低點13.9%增漲超5%。[2022/8/7 12:06:56]

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

騙局安全類型事件

?7月4日，分布式節點基礎設施項目Nody(NODY)發生RugPull，當前NODYToken價格下跌93%。

?7月6日，BNBChain項目BabyDAO發生RugPull，代幣下跌99.9%，約773枚BNB被轉移至TornadoCash。

?7月20日，RacKiller發生RugPull，代幣價格下跌超70%。

華爾街日報：Celsius的資產股本比約19:1，僅為北美銀行中值的一半:6月29日消息，截至去年夏天，加密借貸平臺Celsius Network在籌集新資金之前擁有190億美元的資產和大約10億美元的股本，資產股本比約為19:1。而FactSet數據顯示，標普1500綜合指數（S&P 1500 Composite index）中所有北美銀行的資產股本比中值約為9:1。[2022/6/29 1:39:11]

?7月20日，NumberSwap發生RugPull，代幣價格下跌超96%。

?7月20日，Neoteric.finance發生RugPull，其NTRC代幣價格下跌超91.6%。目前的報告顯示損失約為10萬美元。

?7月20日，AngelsToMiracles項目發生RugPull，ATM代幣價格下跌46%，有1943.3枚BNB轉移至TornadoCash，損失約53萬美元。

?7月20日，ORCHID項目發生RugPull，ORCHID代幣價格下跌超96.4%，目前的報告顯示損失約為5萬美元。

?7月25日，DeFi項目DRACNetwork發生RugPull，代幣TEDDY價格下跌99.4%，1萬枚BNB和200萬枚BUSD轉入幣安。損失約為450萬美元。

?7月26日，SKG代幣項目RugPull，價格下跌超過80%。超過10萬枚SKG被出售，資產利潤超過7萬美元。

?7月27日，LarpFinance項目發生RugPull，LARP代幣跌幅超過80%。合約部署者出售了最初鑄造的LARP代幣并獲利2.8萬美元。

?7月29日，secondunclecoin二舅幣池發生Rugpull，合約部署者已通過TornadoCash清洗贓款，截至目前代幣SUC價格已下跌99.7%。據統計，本次詐騙事件的利潤總額高達130萬美元。

網絡釣魚安全類型事件

?7月6日，NFT項目SpikySpaceFish的Discord服務器遭黑客攻擊，請用戶不要點擊任何鏈接，且不要參與鑄造或批準任何交易。

?7月6日，Otherside官方推特帳號疑似被盜，其個人資料已更改為展示OthersideMetaNFT圖像并推銷騙局。

?7月9日消息，NFT項目DopeApeClub的Discord服務器遭到攻擊。聊天被鎖定，攻擊者發布了一個釣魚鏈接。請社區用戶不要點擊鏈接、鑄造或批準任何交易。

?7月12日，黑客通過釣魚攻擊在UniswapV3上竊取7500ETH，協議本身并無安全問題。

?7月14日，NFT項目AzukiArt的Discord服務器遭到了黑客攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月15日，NFT項目LonelyAlienSpaceClub的Discord服務器遭到入侵，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月16日，P2E元宇宙項目Botborgs的Discord服務器遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，NFT管理平臺NFTYDash的Discord服務器和Twitter賬號遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，premint.xyz遭到黑客攻擊，黑客在premint.xyz網站中通過植入惡意的JS文件來實施釣魚攻擊，欺騙戶簽名setApprovalForAll(address,bool)的交易，從而盜取用戶的NFT等資產。

?7月18日，originals-adidas.com被證實是一個釣魚網站，19枚ETH和17枚NFT已進入詐騙者地址。

?7月19日，NFT項目Maximalist的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月21日，NFT項目TablelandDiscord遭遇攻擊，公告板塊發布釣魚鏈接，團隊部分成員已被踢出。請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月25日，NFT項目NENStudio的Discord服務器遭受攻擊。請社區用戶不要點擊鏈接、鑄造以及批準任何交易。

?7月27日，NFT項目TheAmericansNFT的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，NFT項目OldSport的Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，ApachesNFT項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，DAISUKI項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

其他安全事件類型

?7月4日，英國陸軍的官方推特賬戶和YouTube帳戶遭到黑客攻擊，并發布了有關加密貨幣和NFT的帖子。

?7月4日，多名用戶加密錢包MetaMask的POAP被盜，建議提醒用戶撤銷之前與NFT市場Eporio交互的所有POAP批準。

?7月26日，Windows版Coremail郵件客戶端存在RCE漏洞，攻擊者可通過給用戶發送含有惡意程序的郵件從而控制用戶主機，可能導致錢包私鑰泄露。

總結

從Defi安全形勢來看，本月安全事件中閃電貸攻擊和重入攻擊較為普遍，邏輯漏洞也是頻現，項目方對于此類攻擊事件應做好提前防護。特別是CremaFinance安全事件提醒我們攻擊者能通過閃電貸進行花式攻擊，所以對于閃電貸的安全性項目方一定要深思熟慮。知道創宇區塊鏈安全實驗室在此提醒，對合約安全有必要做到常規審計和復合審計，保障合約免受其他攻擊影響，同時高度重視授權問題，對于授權要有明確的時間限制。

從網絡釣魚以及騙局跑來看，網絡釣魚和騙局跑路所造成的損失也在逐月加重，一方面是數量增多，另一方面單個事件造成的金額損失也增多，所以用戶在投資之余也要多學習區塊鏈知識和防騙意識，確保自己的資產不會不翼而飛。

Tags：NFTANCCORDDISANFT價格McBase.financeCORD幣MDIS幣

中幣