2021年區塊鏈安全年度總結_ANC

2021年對于區塊鏈來說是一個巨大的里程碑，無論是對于用戶量還是對于機構接受程度。鏈資產比重都遠超歷史上的任何其他時期。

與此同時，興起了許多多元化的事物如號稱終極未來的元宇宙、邊玩邊賺的GameFi以及鏈鏈互信的跨鏈等。而各類傳統DefiDapp也加速了步伐迎來了全新的升級，如UniswapV3,AaveV3等新版協議問世。

種種這些，不僅為區塊鏈生態帶來了活力，同時也帶來了全新的安全挑戰。現在請跟隨?知道創宇區塊鏈安全實驗室?的視角一起回顧2021區塊鏈安全生態以及各月份的典型安全事件。

2021區塊鏈安全生態速覽

據知道創宇區塊鏈實驗室不完全統計數據，截止本文發稿前，2021年區塊鏈可供查詢的相關安全事件為312起，直接損失超100億美元。

對比往年數據來說依然是一個令人心悸的走高態勢。蓬勃發展的多鏈系統，鏈鏈互信的跨鏈需求，新鏈上的花式仿盤，都為這一龐大的數字做出了相應的"貢獻"。

在安全事件方面我們使用了6個緯度來進行統計，分別是?交易所、DeFi、跑路、錢包、公鏈、其他。其中以DeFi安全尤為突出達到了?141起。

該原因主要在于區塊鏈底層技術愈加趨向成熟，但合約實現規范還沒有充分完備化和體系化，審計還沒有被足夠的落實。尤其合約具備著直接擔當著資金載體和運行邏輯的功能，這使得越來越多黑客將目標瞄向該領域。

另一方面，攻擊者利用閃電貸和鏈上監控愈發成熟。使得攻擊面得以被充分暴露，同時各個項目方對于協議的實現也存在著巨大的差異，這些種種，無疑皆助長了該攻擊的廣泛性和頻繁性。

Matter Labs為a16z Crypto加速器計劃提供100萬美元資金支持:6月9日消息，zkSync 開發團隊 Matter Labs 宣布向 a16z Crypto 的 2023 Crypto Startup School 加速器計劃提供 100 萬美元資金支持，資金將直接用于在 zkSync Era 上進行開發的團隊。[2023/6/9 21:27:02]

在資金損失方面則是跑路/騙局尤為嚴重，損失總計超?64億美元。相較于DeFi安全事件的多發性來說，跑路/騙局對人們造成的經濟損失更加明顯。

跑路的方式由于Owner權限過大、合約可升級、DAO比例操控等等難以避免。同時由于區塊鏈的不可追溯性導致該行為風險變得非常的低，甚至有項目方直接在群組公開宣告自己跑路的行徑，導致大量用戶失去信心。

無論是交易所清退詐騙、鏈上蜜罐、假錢包、轉賬釣魚，花樣眾多的攻擊方式也為鏈安全帶來了新的挑戰。當然，這不僅僅應該完全依賴安全公司，更多的還應該寄希望于群體安全意識提升的落地。

2021各月份典型安全事件回顧

Ⅰ：挑戰伊始

關鍵詞：權限控制，手續費

1月27日，SushiSwap因收取手續費的函數存在權限控制缺陷，被黑客利用操控了DIGG/WETH交易對的滑點，從而套取了WBTC/DIGG交易對的手續費。

安全月度風險評估：低

月度評價：新年伊始，但不應該是新漏洞的開始

Ⅱ：風雨初現

關鍵詞：閃電貸，無限授權

Maverick Protocol：wstETH日交易量市占率達58.1%，且資本效率最高:6月9日消息，去中心化交易平臺 Maverick Protocol 援引 Dune 數據顯示，該平臺 wstETH 950 萬美元日交易量市占率一度達 58.1%，同期 Uniswap 市占率為 3%，Curve 市占率為 34.3%。

此外，Maverick Protocol 的 wstETH 資本效率達 94.29%，同期 Uniswap 資本效率為 7.25%，Curve 資本效率為 0.46%。[2023/6/9 21:24:49]

YearnFinance被攻擊，黑客利用閃電貸操控3pool代幣平衡，并通過yDai保險庫放大差異，獲利280萬美元，而保險庫損失超1100萬美元。

以太坊協議組合工具Furucombo智能合約被爆出存在請求授權權限過高問題，黑客可通過向Furucombo代理添加攻擊合約，從而獲得影響用戶賬戶的權限，該漏洞影響超1400萬美元。

安全月度風險評估：中

月度評價：同類型漏洞相繼爆發，需做好安全預警

Ⅲ：花式危險

關鍵詞：雙花交易，錯誤鑄幣，權限控制

去中心化交易所?DODO?因未對init進行權限控制，導致黑客在進行閃電貸歸還操作時通過init函數將需要歸還的代幣修改為自己提前加入pool的垃圾代幣，從而規避校驗以次充好，損失超200萬美元。

PaidNetwork?鑄幣功能存在漏洞，被利用鑄造超?6000萬枚PAID代幣。

法官駁回針對無損彩票項目PoolTogether的集體訴訟:6月8日消息，法庭文件顯示，在針對無損彩票項目PoolTogether的集體訴訟中，紐約東區美國地方法院法官Frederic Block裁定原告Joseph Kent無權提起訴訟，因此予以駁回。

據悉，Kent在1年多前提起集體訴訟，指控PoolTogether經營非法彩票。法官指出，Kent系主動參與協議，且并未提供其在被告處遭受具體傷害的相關證據。[2023/6/8 21:23:29]

Filecoin由于節點特性出現“雙花交易”漏洞。

安全月度風險評估：高

月度評價：漏洞類型花樣百出，但核心都是資金安全

Ⅳ：經典重現

關鍵詞：重入攻擊，協議兼容性

Uniswap上的imBTC池遭到黑客攻擊，漏洞原因是Uniswap與ERC777協議出現兼容性問題，當交易產生時，ERC777中的迭代調用tokensToSend可以被用來實現重入攻擊，損失超30萬美元。

安全月度風險評估：低

月度評價：經典漏洞以全新方式體現，說明安全理念并不會停滯，需要時刻進步

Ⅴ：八方風雨

關鍵詞：重入攻擊，協議沖突，滑點，閃電貸

合成資產協議SpartanProtocol遭到閃電貸攻擊，由于添加/移除流動性存在滑點修正機制的差別導致套利，損失3050萬美元

機槍池項目ValueDeFi由于協議組合存在的沖突隱患遭到攻擊，損失1000萬美元，2天后再次遭到攻擊，損失1100萬美元；

以太坊PoW時代最終區塊由F2Pool挖出，高度為15537393:9月15日消息，據歐科云鏈數據顯示，以太坊于 14：43 達到 58,750,000,000T 終端總難度（TTD），以太坊 PoW 時代最終區塊由 F2Pool 挖出，高度為 15537393[2022/9/15 6:58:01]

PancakeBunny遭到閃電貸攻擊，由于LP代幣價格計算問題導致套利，損失約4500萬美元；

BurgerSwap遭到閃電貸攻擊，由于重入漏洞和架構問題導致套利，損失約330萬美元；

安全月度風險評估：高

月度評價：本月是閃電貸攻擊多發月份，造成的損害也及其重大，所以必須不放過任意可能存在漏洞的細節，避免無法挽回的結果。

Ⅵ：風雨依舊

關鍵詞：薅羊毛，錯誤變量，address(this)，閃電貸

PancakeBunny項目仿盤PancakeHunny項目遭遇黑客攻擊，主要漏洞原因在于mintFor函數錯誤地使用合約余額作為參數，且兌換HunnyToken使用的固定參數，導致套利可行。

以太坊DeFi項目Alchemix的alETH合約出現安全問題，由于部署腳本錯誤的創建vault值并在調用中使用了錯誤的索引，導致用戶獎勵超發

BSC鏈上DeFi協議xWinFinance遭到閃電貸攻擊，合約未對獎勵推薦人地址做校驗，導致同一地址推薦人獎勵可累計。

安全月度風險評估：中

高月度評價：本月閃電貸攻擊依然多發，其提醒著控制變量值得反復審計。

去中心化身份公司Qui Identity完成約500萬美元融資，Round13領投:8月4日消息，去中心化身份公司Qui Identity宣布已完成650萬加拿大元（約500萬美元）融資，數字資產基金Round13領投，OMERS Ventures、Wittington Ventures、以及加拿大和美國Web2和Web3領域的一群匿名天使投資人參投。Round13今年推出一個加密專項基金Round13 Digital Asset Fund，專注于在加密基礎設施和Web3項目上進行投資。（betakit）[2022/8/4 12:02:26]

Ⅶ：邏輯理性

關鍵詞：私鑰，雙花攻擊，tx.origin，邏輯漏洞

去中心化跨鏈交易協議Anyswap遭到攻擊，漏洞原因在于其V3路由器MPC帳戶下存在兩個v3router交易，這兩個交易具有相同的R值簽名，攻擊者可以反推出MPC賬戶的私鑰，損失約800萬美元。

BSV網絡遭受惡意攻擊，造成多個區塊重組，攻擊者借此進行了雙花攻擊。

去中心化跨鏈交易協議THORChain遭受多次攻擊，因其代幣特性tx.origin可被用做釣魚，損失約?2500萬美元。

收益耕作協議PolyYeldFinance遭受攻擊，因其轉賬時存在實際到賬少于轉出的缺陷，被黑客利用控制了MasterChef合約中代幣，實現超額獎勵。

安全月度風險評估：中高

月度評價：本月存在各類型的邏輯漏洞，涉及私鑰、轉賬已經功能特性等，需做更全面的考慮。

Ⅷ：危險之最

關鍵詞：年度損失之最，重入攻擊，同類型協議攻擊，閃電貸

以太坊上DeFi協議PopsicleFinance遭遇閃電貸襲擊，漏洞原因在于PLP池合約對手續費獎勵的計算存在缺陷，損失2,070萬美元；

跨鏈協議PolyNetwork遭到攻擊，由于函數缺陷導致keeper可被修改，這次攻擊被稱為年度最大黑客事件，損失約6.1億美元；

BSC鏈上DeFi項目Dot.Finance遭受閃電貸攻擊，這次攻擊屬于PancakeBunny同類型協議攻擊，損失近43萬美元，迄今為止，此類攻擊已造成損失超5,000萬美元；

以太坊上的DeFi協議CreamFinance遭遇重入漏洞襲擊，損失超1800萬美元；

安全月度風險評估：高

月度評價：本月各類攻擊損失都十分巨大，還有著堪稱全年損失之最的PolyNetwork攻擊，該月份攻擊不僅影響到新興的跨鏈項目也對同類型的協議敲響警鐘，這份影響持續著整個區塊鏈安全生態。

Ⅸ：問題依舊

關鍵詞：初始化攻擊，恒定乘積校驗，預言機操控，閃電貸

NFT賽馬項目DeRac被攻擊，其漏洞原理是：Vesting合約未進行init未初始化保護，從而讓黑客初始化了init中他想要的參數，最后通過緊急提款函數提取了合約資金，損失約400萬美元。

去中心化交易所NowSwap遭到黑客攻擊，由于沒有修改swap函數的參數導致閃電貸的恒定乘積校驗邏輯失效，攻擊者返還部分閃電貸金額即被認為是完全歸還，從而實現了攻擊，損失金額超100萬美元。

借貸協議Vee.Finance，超3500萬美元資產被盜，據官方調查，極可能是小數點未精確以及權限校驗問題導致預言機價格被操縱。

去中心化借貸協議?Compound?出現變量設置錯誤轉移了更多的COMP代幣，該漏洞損失約28萬枚COMP代幣。

安全月度風險評估：高

月度評價：本月各類攻擊損失依然巨大，但相較于新型漏洞，大多數漏洞都屬于可追溯漏洞即已經出現過的漏洞。

Ⅹ：漏洞多樣化

關鍵詞：價值描述，修補方案，多次攻擊

以太坊上被動收益協議IndexedFinance遭到攻擊，其漏洞產生的原因在于協議通過一種代幣來描述整個礦池價值，損失約1600萬美元。

去中心化借貸協議Compound在試圖通過社區提案修補流動性挖礦代幣分發合約含有的漏洞的同時，因為?drip()函數的調用而向漏洞合約打入了20萬枚comp代幣，由此該協議已面臨?1.58億美元的潛在損失。

以太坊上DeFi借貸協議CreamFinance再遭受攻擊，此次攻擊產生的核心代碼原因在于價格因子pricePerShare通過簡單的資產數額占比來動態定價，損失約1.3億美元。

安全月度風險評估：高

月度評價：各種漏洞產生的情況也是各有不同，有礦池功能存在問題、有兌換功能存在問題、甚至有鑄幣功能存在問題等，但是CreamFinance該年度已經多次遭受攻擊實屬應該做好防護。

Ⅺ：問題多元化

關鍵詞：預言機操控，治理攻擊，私鑰泄露

以太坊上的DeFi協議VesperFiFianance遭遇預言機操控攻擊，損失超?300萬美元。

Curve.Finance遭Mochi穩定幣USDM團隊「治理攻擊」，損失超3000萬美元。

DeFi借貸協議bZx在Polygon和BSC鏈上的私鑰泄露事件已導致超5500萬美元資產被盜。

安全月度風險評估：高

月度評價：該月份同樣問題嚴重，有傳統的預言機安全問題、私鑰泄露問題甚至還有著項目方反擼礦工的操作。

Ⅻ：經典再現

關鍵詞：閃電貸，重入

Fantom鏈上復合收益平臺GrimFinance遭遇了閃電貸攻擊，攻擊者利用depoistFor函數不存在token校驗，通過將token地址指向自己的攻擊合約實現重入攻擊，損失超3000萬美元。

Definer遭遇預言機操控攻擊，問題在于OEC鏈上對于預言機的實現存在問題，使用了單一流動池在一個時間點的池內代幣余額作為價格源從而導致了事故的發生。

安全月度風險評估：中

月度評價：傳統的預言機安全問題與重入安全問題，但是殺傷力依舊巨大。

總結

凡是過去，皆為序章。

2021年，注定是不平凡的一年。對區塊鏈而言，各種新事物不斷出現的同時，也產生了諸多的安全問題，同時帶來了全新的安全挑戰。

在這些種種安全事件中最亮眼的名詞當屬閃電貸，在上述經典攻擊事件中閃電貸工具被使用了數10次。而攻擊難度低，收益高的跑路和詐騙也時有發生。每年對于區塊鏈安全所造成的損失也仍在不斷增加，并且沒有一絲暫緩之勢。

在這些攻擊中，DeFi仍是區塊鏈安全的重災地，由于各種項目方實現的多樣性和復用代碼造成的理解差異，導致了如此多的經濟損失值得每一個人深思。這不是某一個人或者某一個組織的事，而是需要整體行業大眾普遍安全意識的提升。

最后，希望大家在新的一年中，以此為鑒，砥礪前行。

來源：金色財經

Tags：ANCEFIDEFDEFICabinz FinanceDefiCliqLibre DeFiDeFireX

AVAX