創宇區塊鏈7月安全月報-ODAILY_NFT

前言

七月隨著幣價的回升，安全事件也變的頻繁發生，攻擊者在本月也是“火力全開”，從各個方面進行攻擊。據知道創宇區塊鏈安全實驗室數據顯示：該月發生的安全事件超43起，其中跑路騙局和釣魚造成的單個損失也愈發嚴重，代表事件為UniswapV3釣魚攻擊和DRACNetwork的RugPull，而月初DeFi協議CremaFinance被攻擊造成的損失尤為慘重。本月安全事件造成的損失總金額共計約29,000,000美元。

通過對本月各類型安全事件的數量和占比分析，不難發現網絡釣魚安全事件仍然占比最多。再次提醒大家要對網絡釣魚提高警惕，可借助一些工具來減少被釣魚的風險，如：FishAlert插件，可減少被釣魚風險。

本月安全事件對比6月數量雖然略有下降，但整體局勢仍處在安全事件高發期。再此提醒大家，對于安全應持續提高安全意識，保持對安全問題的敏銳性。

以下是知道創宇區塊鏈安全實驗室對七月各類型安全資訊的總結，并就其暴露出的問題進行探討。

DeFi安全類型事件

?7月3日，Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

上周以太坊非法流量創下年度新高:金色財經報道，Chainaanalysis追蹤的數據顯示，上周幾天已知的非法流量占以太坊總流量的百分比達到近 2%。7月30日至8月5日期間，該指標波動在1.7%至1.82%之間，然后于8月6日恢復到正常水平。

目前尚不清楚到底是什么原因導致了價格飆升，但這與去中心化交易所Curve Finance的被黑同時發生。[2023/8/9 21:33:52]

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

Coinbase Layer2網絡Base總鎖倉量達1.11億美元:金色財經報道，據L2BEAT數據顯示，Coinbase Layer2網絡Base總鎖倉量（TVL）已突破1億美元，目前達1.11億美元，7日增幅為473.39%。

此前報道，Base主網將于8月9日向公眾開放。[2023/8/6 21:27:53]

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

?7月3日，Solana生態流動性協議CremaFinance遭黑客攻擊中損失超600萬美元，黑客使用Solend閃電貸耗盡資金池。

?7月7日，ProjectX項目PXT代幣價格下跌，官方稱價格下降是由于黑客攻擊造成的。攻擊者獲利約1.9萬美元。

?7月10日，去中心化NFT金融化協議OmniX遭到攻擊，攻擊者利用ERC721的重入了清算函數。損失超100萬美元。

MATIC突破0.59美元:金色財經報道，行情顯示，MATIC突破0.59美元，現報0.6美元，日內跌幅達到20%，行情波動較大，請做好風險控制。[2023/6/11 21:29:03]

?7月11日，DeFi平臺ParallelFinance遭到重入攻擊，導致了約200萬美元的損失。

?7月12日，質押挖礦項目遭到黑客攻擊，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，總計獲利約為11萬美元。

?7月12日，多鏈NFT協議CitizenFinance被攻擊，CIFI代幣價格已下跌逾50%，244枚BNB和5.76萬枚MATIC被盜。

?7月14日，BNBChain上項目SpaceGodzilla遭到了黑客的閃電貸攻擊。黑客通過閃電貸借取大量資金并在Pancake上操縱交易池中SpaceGodzilla的價格，攻擊共獲利25,378.78BUSD。

?7月24日，Web3音樂流媒體服務平臺Audius社區金庫被利用，損失1850萬枚AUDIOToken，黑客將資金在Uniswap兌換為705枚ETH，共獲利約11萬美元。

?7月25日，LPC項目遭受閃電貸攻擊，由于_transfer函數中未更新賬本余額，而是直接在原接收者余額recipientBalance值上進行修改，導致攻擊者余額增加。攻擊者共獲利178BNB，約為45715美元。

?7月28日，基于Solana的去中心化算法穩定幣協議Nirvana遭到閃電貸攻擊，其穩定幣NIRV價格從1美元一度跌至0.09美元，最大跌幅超過90%，攻擊者共獲利3,490,563.69USDT，21,902.48USDC及393,230.32ANA代幣，價值約357萬美元。

馬斯克：現在還不知道推特的CEO是誰:10月30日消息，特斯拉CEO馬斯克表示，現在還不知道推特的CEO是誰。

此前報道，埃隆·馬斯克計劃擔任推特的首席執行官，還計劃取消針對推特用戶的永久封禁政策。[2022/10/31 11:59:05]

騙局安全類型事件

?7月4日，分布式節點基礎設施項目Nody(NODY)發生RugPull，當前NODYToken價格下跌93%。

?7月6日，BNBChain項目BabyDAO發生RugPull，代幣下跌99.9%，約773枚BNB被轉移至TornadoCash。

?7月20日，RacKiller發生RugPull，代幣價格下跌超70%。

?7月20日，NumberSwap發生RugPull，代幣價格下跌超96%。

?7月20日，Neoteric.finance發生RugPull，其NTRC代幣價格下跌超91.6%。目前的報告顯示損失約為10萬美元。

?7月20日，AngelsToMiracles項目發生RugPull，ATM代幣價格下跌46%，有1943.3枚BNB轉移至TornadoCash，損失約53萬美元。

?7月20日，ORCHID項目發生RugPull，ORCHID代幣價格下跌超96.4%，目前的報告顯示損失約為5萬美元。

?7月25日，DeFi項目DRACNetwork發生RugPull，代幣TEDDY價格下跌99.4%，1萬枚BNB和200萬枚BUSD轉入幣安。損失約為450萬美元。

Circle：呼吁監管機構改革金融法規，以保證大眾金融隱私受到保護:8月12日消息，USDC 發行商 Circle 在其官網發表博客文章，呼吁金融監管機構對《銀行保密法》（Bank Secrecy Act，已有 52 年歷史）等相關金融法規進行改革修正，以識別開放協議、軟件與非法行為者的區別，并保持基于區塊鏈的金融開放和普遍可訪問。此外，文章倡議監管鼓勵和協調加密資產和開放區塊鏈的合法使用，確保隱私性去中心化身份及其協議和工具能夠規范化使用。[2022/8/12 12:21:58]

?7月26日，SKG代幣項目RugPull，價格下跌超過80%。超過10萬枚SKG被出售，資產利潤超過7萬美元。

?7月27日，LarpFinance項目發生RugPull，LARP代幣跌幅超過80%。合約部署者出售了最初鑄造的LARP代幣并獲利2.8萬美元。

?7月29日，secondunclecoin二舅幣池發生Rugpull，合約部署者已通過TornadoCash清洗贓款，截至目前代幣SUC價格已下跌99.7%。據統計，本次詐騙事件的利潤總額高達130萬美元。

網絡釣魚安全類型事件

?7月6日，NFT項目SpikySpaceFish的Discord服務器遭黑客攻擊，請用戶不要點擊任何鏈接，且不要參與鑄造或批準任何交易。

?7月6日，Otherside官方推特帳號疑似被盜，其個人資料已更改為展示OthersideMetaNFT圖像并推銷騙局。

?7月9日消息，NFT項目DopeApeClub的Discord服務器遭到攻擊。聊天被鎖定，攻擊者發布了一個釣魚鏈接。請社區用戶不要點擊鏈接、鑄造或批準任何交易。

?7月12日，黑客通過釣魚攻擊在UniswapV3上竊取7500ETH，協議本身并無安全問題。

?7月14日，NFT項目AzukiArt的Discord服務器遭到了黑客攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月15日，NFT項目LonelyAlienSpaceClub的Discord服務器遭到入侵，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月16日，P2E元宇宙項目Botborgs的Discord服務器遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，NFT管理平臺NFTYDash的Discord服務器和Twitter賬號遭到攻擊，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月17日，premint.xyz遭到黑客攻擊，黑客在premint.xyz網站中通過植入惡意的JS文件來實施釣魚攻擊，欺騙戶簽名setApprovalForAll(address,bool)的交易，從而盜取用戶的NFT等資產。

?7月18日，originals-adidas.com被證實是一個釣魚網站，19枚ETH和17枚NFT已進入詐騙者地址。

?7月19日，NFT項目Maximalist的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月20日，DerpyPunkz的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接，與此前Maximalist項目攻擊者相同，用戶不要點擊鏈接、鑄造或批準任何交易。

?7月21日，NFT項目TablelandDiscord遭遇攻擊，公告板塊發布釣魚鏈接，團隊部分成員已被踢出。請用戶不要點擊鏈接、鑄造或批準任何交易。

?7月25日，NFT項目NENStudio的Discord服務器遭受攻擊。請社區用戶不要點擊鏈接、鑄造以及批準任何交易。

?7月27日，NFT項目TheAmericansNFT的Discord服務器遭到攻擊，攻擊者發布了釣魚鏈接。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，NFT項目OldSport的Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，ApachesNFT項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

?7月29日，DAISUKI項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。

其他安全事件類型

?7月4日，英國陸軍的官方推特賬戶和YouTube帳戶遭到黑客攻擊，并發布了有關加密貨幣和NFT的帖子。

?7月4日，多名用戶加密錢包MetaMask的POAP被盜，建議提醒用戶撤銷之前與NFT市場Eporio交互的所有POAP批準。

?7月26日，Windows版Coremail郵件客戶端存在RCE漏洞，攻擊者可通過給用戶發送含有惡意程序的郵件從而控制用戶主機，可能導致錢包私鑰泄露。

總結

從Defi安全形勢來看，本月安全事件中閃電貸攻擊和重入攻擊較為普遍，邏輯漏洞也是頻現，項目方對于此類攻擊事件應做好提前防護。特別是CremaFinance安全事件提醒我們攻擊者能通過閃電貸進行花式攻擊，所以對于閃電貸的安全性項目方一定要深思熟慮。知道創宇區塊鏈安全實驗室在此提醒，對合約安全有必要做到常規審計和復合審計，保障合約免受其他攻擊影響，同時高度重視授權問題，對于授權要有明確的時間限制。

從網絡釣魚以及騙局跑來看，網絡釣魚和騙局跑路所造成的損失也在逐月加重，一方面是數量增多，另一方面單個事件造成的金額損失也增多，所以用戶在投資之余也要多學習區塊鏈知識和防騙意識，確保自己的資產不會不翼而飛。

Tags：NFTANCNCEISCNFTSHIBA幣Heco YearnFinanceGlitter FinanceBISC

Coinw