WEB:2022年第三季度Web3.0行业安全报告

2022年第三季度，黑客从Web3.0领域中盗取了总价值约5亿美元的资产，这个数字相比上季度减少了32.32%，同时今年的损失总额增长至28.8亿美元。

第三季度共发生了98起退出局，导致了5619万美元的资产损失，23起闪电贷攻击则导致了1737万美元的资产损失。

仅6起多链安全事件造成的高达4.3亿美元的损失金额就占到了本季度总损失的85.3%。

第三季度CertiK审计的Web3.0项目数量新增了537个，同时CertiK审计的项目总数达到了4737个。37个Web3.0项目成功通过KYC项目背景调查，47个项目入驻CertiKSkynet。

截至目前，2022年CertiK已完成了183个项目的KYC项目背景调查服务，同时有846个新的Web3.0项目入驻CertiKSkynet。

①以攻击类型分类

98起退出局，共计损失5619万美元

23起闪电贷攻击，共计损失1737万美元

50起其他攻击事件，共计损失4.3亿美元

Avalanche：4起事件，共计损失316万美元

BNBChain：105起事件，共计损失5389万美元

Ethereum：25起事件，共计损失2838万美元

Fantom：2起事件，共计损失39万美元

Multichain：6起事件，共计损失3.53亿美元

Polygon：3起事件，共计损失106万美元

Solana：4起事件，共计损失2102万美元

其他/非区块链：11起事件，共计损失531万美元

③以时间分类?

7月：59起事件，共计损失6673万美元

8月：56起事件，共计损失2.55亿美元

9月：53起事件，共计损失1.82亿美元

Injective在2022年将专注于“Injective Chain上线支持期货”等，以继续为开拓新的Web3经济铺平道路:1月1日消息，Injective发布2021年回顾和未来之路，Injective将继续为开拓新的Web3经济铺平道路，2022年将专注于：继续构建去中心化衍生品交易所；集成预言机；增加流动性；引入更多交易对和市场类型；发挥Injective Chain的潜力，可以支持期货、合成资产、期权等；推动全球采用；高性能互操作智能合约，将多链智能合约CosmWasm集成到Injective；Injective上的无许可Web3应用程序；跨链集成。[2022/1/1 8:18:18]

概要

7月是今年到目前为止安全态势最为良好的一个月，黑客攻击、行为、漏洞利用和其他安全事件仅造成了6600万美元损失，但该数量在之后两个月内再次攀升。8月总损失的74%源于NomadFinance跨链桥攻击事件，而9月总损失的89%源于做市商Wintermute钱包被盗的1.62亿美元。

2022年第三季度，Web3.0行业仍然多受退出局的困扰。本季度，CertiK共记录了169起独立安全事件，其中58%被归类为退出局。

如果仍然有一些经验不足的用户考虑把钱投资到未经审计的项目中，或是甘愿冒着风险急于成为代币早期持有人，那么退出局就会持续扩散，整个产业也将被其阴影笼罩。??

跑路的过程其实非常简单明了，欺诈团队所要做的仅仅是复制粘贴现成的局项目代码并将其部署，为去中心化交易所的交易对增加流动性，然后将代币推销给用户，直到他们投入了足以让欺诈团队脱身的大量资金。

代码审计很容易就能发现项目钱包所存在的中心化风险及访问特权，从而根据一些疑点揭露团队欺诈。我们建议Web3.0用户不要投资任何未经审计，或者那些审计发现了中心化和特权风险却未修复的项目。

其实所有退出局基本都遵循着类似的套路，要规避那些明显有退出局迹象的项目并不困难，因此退出局并不能提供Web3.0安全方面的最具启发性案例分析。?

报告：中心化交易所的比特币储备数量在2021年达到最低点:9月25日消息，DappRadar发布“区块链价值流动”报告第一部分，报告要点如下：

- 中心化交易所的比特币（储备）数量在2021年达到最低点；与此同时，自今年年初以来，WBTC翻了一番，以太坊DeFi DApp锁定的WBTC达到2万枚。

- 流出中心化交易所的ETH数量处于最高水平，与DeFi中使用的WETH达到最高供应量（ETH流通供应量的6%）相对应，此外8月份NFT交易量创历史新高（52亿美元）。

- 四种稳定币（USDC、USDT、DAI和UST）构成了39%的在以太坊桥接的资产，这表明在DeFi和NFT中都有大量使用。

- 目前，ADA是最静态的资产之一，因为70%的ADA被锁定在质押池中，这将占该行业锁定市值的2.45%。[2021/9/25 17:06:31]

但是第三季度还发生了许多其他不寻常的事件，可以让Web3.0用户和开发者汲取到新的经验。本报告将分享三个案例，就其事件进行分析并从中为读者提取安全相关的重要启示。

Nomad跨链桥黑客攻击事件：损失1.9亿美元，成为本季度最严重的安全事件；做市商Wintermute钱包私钥泄露事件：被盗1.62亿美元；Slope被黑事件：损失800万美元，其是Solana生态中比较流行的热钱包，被黑数额相对较小。然而，以上所有损失都是由于不安全的应用程序代码所致，这就表明要实现Web3.0的全面安全不仅关乎智能合约，技术堆栈的各个层面也必须保证安全。?

实际上，Nomad跨链桥被黑和Wintermute私钥泄露事件的资产损失合计占据了第三季度总损失的近70%，这说明成功的漏洞攻击很可能不需要黑客付出过多“努力”，而其所得的回报有可能是巨大的。换句话说，无论目标钱包存有162美元还是1.62亿美元，如果攻击者想要暴力破解其私钥，所要付出的算力都是一样的。而在Nomad被黑事件中，任何普通用户都能简单复制原始攻击者的交易，并换成自己的钱包地址实施攻击，这也更加凸显Web3.0世界的残酷性。毫无疑问，所有漏洞都会受到最大程度地利用。Web3.0开发者必须认真对待安全问题，不仅是为了保护用户资金，也是为了保障整个项目的长期生存和发展。

声音 | 元界DNA创始人：2020年发展机遇即将到来:据官方消息，在今晚（29日）元界DNA社区新年首场线上活动中，元界DNA创始人初夏虎为所有DNA社区伙伴送上了新年的祝福。本次分享中初夏虎向大家介绍了元界（Metaverse）名称和Avatar的由来，以及在元界双链系统中，即将发挥重大作用的MIT资产。

初夏虎说，在接下来元界DNA主网上线后，其生态将不仅仅是去中心化交易平台，伴随着元界数字身份技术MIT的不断发展，去中心化金融DeFi的场景将变得丰富多彩，而这也将会使得元界DNA在全球公链生态当中处在领先地位。

初夏虎还为社区伙伴带来了诸多好消息：元界DNA技术开发团队不断壮大，同时接下来将在海外多地开展活动。

在分享的最后，初夏虎表达了新年对元界DNA的美好愿望，他说2020年是否极泰来的一年，相信元界DNA将迎来飞速发展的新阶段。[2020/1/30]

重大安全事件

私钥安全危机四伏

导致Slope钱包被黑的漏洞并不常见，该事件涉及了9000多个钱包地址，损失金额高达800万美元。大部分因退出局或智能合约代码错误造成的损失只发生在区块链上，但这次事件却源自一个链下漏洞。?

8月2日晚，Solana用户钱包中的资产开始神秘消失，且每笔转账都是有效交易，就像是钱包主人自己操作签名转移了所有代币。调查人员在调查被黑钱包之间共性的过程中，关于漏洞起源的一系列假设也开始流传。?

这些假设和结论让那些担忧大型DeFi平台被黑导致数十万用户和价值数十亿美元的资产都将处于险境之中的人们松了口气。因为就在前一天刚刚发生了Nomad跨链桥被黑事件，人们仍然处于神经紧绷的状态中。最终Slope的漏洞是在其钱包应用程序的代码中被发现的——该程序会在服务器上以明文形式存储用户的助记词。当攻击者获得该数据库的访问权时，就能完全控制所有受到影响的钱包，并立即卷走资产。

一些反应迅速的用户已将资金转移到了硬件钱包或其他不受Slope漏洞影响的热钱包中。?

动态 | 证监会2020年系统工作会议：积极探索区块链等创新金融科技的应用:中国证监会召开2020年系统工作会议，会议强调，2020年，证监会要以科技监管为支撑，进一步增强监管效能。推进监管科技基础能力建设，加快构建新型监管模式。加强对证券期货行业科技的监管，推动提升行业科技发展水平。积极探索区块链等创新金融科技的应用。（中国证监会官网）[2020/1/17]

安全启示：使用硬件钱包或者网络隔离电脑离线生成密钥是最安全的做法，而在热钱包中生成或导入的私钥都不宜用于存放任何重要资产。

谨慎处理钱包密钥?

9月20日，最大数字资产做市商之一的Wintermute因私钥泄露造成1.62亿美元损失，原因是Wintermute使用第三方工具生成的“vanity”地址存在漏洞，并遭到黑客利用。造成这次意外事件的原因不同于由智能合约漏洞所致的常见情况，而是来自外部的基础设施问题。

大多数以太坊地址看起来是一串完全随机的字母和数字，开头都为0x。这样的好处是提供了一定程度的隐私性，但这并不能满足想要一个独特地址的用户。基于人们对“vanity地址”的追求，一个名为“Profanity”的vanity生成器应运而生，它可帮助用户为包含指定单词或字符串的地址生成密钥。?

除此之外，Profanity还可以被用来创建钱包地址，以优化手续费，这也是Wintermute团队创建0x00000000AE347......b92280f9e75地址的初衷，但却最终导致了钱包被黑。开头那串冗长的0简化了地址，减少了以太坊网络的算力需求，从而在一定程度上降低了交易手续费——这些节省下来的手续费看似微小，却会在成千上万的交易中积少成多。

2022年1月，用户k06a曾在Profanity的GitHub：https://github.com/johguse/profanity/issues/61，提出了一个关于私钥生成方式的问题：Profanity使用一个随机的32位种子数来生成256位私钥。

雄安新区将优先布局新一代信息技术产业 2020年基本形成起步区产业布局框架:按规划，雄安新区将优先布局人工智能、大数据、云计算、移动互联网等。同时积极培育发展区块链、未来网络、石墨烯、极端环境材料等未来产业，打造世界级高端高新产业集群，到2020年，起步区产业布局框架将基本形成。[2018/4/2]

2022年9月15日，1Inch发表了一篇文章，详细介绍了如何破解Profanity生成的钱包私钥的方法。

仅过两天，该漏洞就在众目睽睽之下遭到黑客利用。0x6...b93钱包账户抽空了多个vanity钱包，包括来自0x0Babe...B05的500枚ETH、0x888888888...597的100枚ETH、0x000000...422的104.4枚ETH，以及更多其他钱包的资产，总价值为330万美元。?

在技术发展瞬息万变的Web3.0世界，只需要四天就能借助这一漏洞攻破一个Wintermute的DeFi交易钱包，其损失的1.62亿美元也是今年因私钥泄露造成的最高资产损失。??

事发后，攻击者迅速将价值1.14亿美元的稳定币转入CurveFinance的3Pool。有人猜测这是为了避免被盗资金被USDT和USDC列入黑名单并冻结。?

但问题还没解决：所有基于Profanity创建的钱包都存在风险。9月25日，vanity地址0x000000000......Ff3791338975被黑，攻击者卷走了钱包中价值超过95万美元的各种代币，将其换成732.3枚ETH后，又通过15次交易把这些代币全部存入TornadoCash。

金融服务提供商AmberGroup称其团队能够在48小时内利用一台M1处理器和16G内存的MacBook复现黑客构建的漏洞并发起攻击。

安全启示：所有使用Profanity生成钱包的用户都应尽快将资产转移到可离线生成密钥的钱包中。?

Nomad跨链桥遭劫

8月1日，NomadFinance在Ethereum、Moonbeam、Avalanche、Evmos和Milkomeda之间的跨链桥遭到攻击，涉案金额约1.9亿美元。

在一次常规升级部署后，由于一个错误配置允许黑客绕过验证信息，最终导致了这起悲剧发生。最初攻击的消息被传开以后，其他黑客、机器人以及社区成员也纷纷效仿，通过克隆原始黑客的交易数据、换上他们自己的地址发起攻击，几乎抽空了跨链桥的所有资产。?

百闻不如一见：人们对一个持有9位数资产的跨链桥实施了去中心化式抢劫？

–@0xfoobar?

这次的漏洞本质上源于acceptableRoot(messages)函数中的一个错误，它允许用户绕过从跨链桥上提取资金所需要的验证。关于此次事件的完整技术分析，欢迎阅读CertiK官方公众号发布的Nomad事件分析报告。

跨链桥为巨额资金提供托管服务，是其成为黑客主要目标的原因。今年初，Wormhole跨链桥遭漏洞利用，损失超过3.2亿美元，是有史以来第二大DeFi被黑事件。

值得注意的是，在这场混乱不堪的攻击中，所有对相关技术稍有了解的投机用户都能轻松复制原始攻击者的交易，这些人蜂拥而上将跨链桥洗劫一空。?

作为回应，Nomad宣布向所有归还赃款的用户提供10%的白帽赏金，同时将对那些不归还资金的人采取法律行动。

安全启示：某个漏洞一旦被公开，就别指望恶意者不会抓紧机会闻风而动，因为开源的代码意味着所有人都可以对其进行最大程度的恶意利用。

PoS权益证明。关闭PoW工作证明后，以太坊的网络能耗从112TW/年骤降为0.01TW/年。这99.95%的能耗降幅不仅减少了以太坊网络对环境的影响，也让ETH在面对那些曾因环保顾虑而放弃了合作的用户和投资者时更具吸引力。

本次合并是一项了不起的技术成就，此次升级的巨大成功也得益于开发者与网络成员多年的精心准备。如果升级失败，整个网络都将承受灾难性的后果。?

尽管人们仍然担心验证者的中心化问题，但如果消除了对昂贵挖矿设备的需求，更加多样的网络参与者会被吸引加入。虽然还有许多其他PoS网络也在运行，但对于锁定价值数千亿美元资产的以太坊网络来说，其雄心勃勃的发展计划已经箭在弦上。

史上最强制裁风暴?

8月8日，美国财政部下属海外资产控制办公室宣布将以太坊混币隐私应用TornadoCash和相关44个钱包地址纳入制裁名单，禁止任何美国个人和实体与TornadoCash相关地址进行交互，并要求TornadoCash向OFAC报告其平台上所有的美国资产。?

与此同时，现年29岁的TornadoCash软件开发者AlexeyPertsev被荷兰当局逮捕，理由是“涉嫌利用TornadoCash以太坊混合服务参与和隐瞒犯罪资金流动”。截至发稿前，Pertsev尚未被正式指控任何罪行，而荷兰法律规定犯罪嫌疑人在未受指控的情况下最长可被羁押110天。

美国财政部对TornadoCash采用“声名狼藉”的描述也并非毫无理由。TornadoCash自2019年成立以来，已被用于价值超过70亿美元的数字货币活动。其中包括由朝鲜国家支持的黑客组织LazarusGroup所盗取的超过4.55亿美元、来自HarmonyBridge漏洞攻击的9600万美元，以及2022年8月2日NomadHeist事件中的至少780万美元等事件。?

但美国财政部将TornadoCash的所有应用均概括为活动就有失偏颇了。虽然TornadoCash的确成了犯罪分子清洗不义之财的首选工具，但在区块链技术的开放世界中，该平台也作为重要的金融隐私工具之一发挥着作用。以太坊联合创始人VitalikButerin在制裁后透露，他曾使用TornadoCash进行过私人捐款。而仅在今年，反对金融监管的斗争已经赢得了来自不同意识形态的个人和团体支持，如美国的支持选择权活动家和加拿大的反疫苗授权抗议者。

在禁令宣布后，TornadoCash在GitHub上的开源代码被迅速删除，但在OFAC就此事作出了澄清后，代码又被重新恢复。9月13日，OFAC在其常见问题页面中发布了指导意见：

“虽然美国被禁止与TornadoCash或其被封锁的财产或财产权益进行任何交易，但只要不涉及禁止交易，与TornadoCash开源代码本身的互动就是被允许的。例如，美国制裁法规不会禁止人们复制开源代码并将其在线提供给他人查看、讨论以及教学，或将开源代码收录于书面出版物中。”?

这个仍在继续的Web3.0传奇故事凸显了Web3.0资产与行业相关实体所面临的挑战：在试图遵守严格的政府行动的同时，又要对事后迟来的指导意见及时作出反应。

CertiK安全排行榜结合了CertiK的审计和安全团队的专业知识，让Web3.0用户对安全威胁拥有更深入地了解。用户可以根据我们所提供的安全数据做出更明智的决策，将整个生态系统推向新的安全高度。

在第三季度，CertiK安全排行榜已全面升级为安全排行榜360，为数以千计的榜上项目提供完整而即时的安全状况“全景图”。界面改版后，用户可以更容易地读取和理解这些信息。此外，我们还利用量化工具为个人投资者提供合理的决策建议。欢迎访问certik.com了解详情。

Skynet天网动态扫描系统结合链上交易监测与链下数据，对数百个Web3.0平台进行实时、全面的安全监测和分析。SkynetPremium由CertiK于2021年正式推出，其威胁检测模型会通过机器学习与不断变化的智能合约风险环境同步进化。这也意味着，随着威胁情报库和智能合约漏洞库的不断积累，这一平台也会变得愈发先进，从而适应变化无常的智能合约风险环境。目前Premium平台包括一个分析仪表板，可帮助企业客户实时监控和管理其项目风险。

SkyTrace则是一种智能、直观的追踪工具，可帮助分析和可视化以太坊和BSC钱包的交易数据。该工具为识别和追踪进出自己的个人钱包或项目团队钱包的可疑流量提供了深入的分析。

CertiKKYC项目背景调查服务可为项目团队提供身份验证，包括使用基于AI的检测系统进行ID真实性检查，以确保个人身份真实并与ID相匹配。除了在身份验证过程中进行实时有效性检查外，CertiK还将与每个项目团队成员进行实时视频沟通，以验证他们的身份和其他必要参数。由于团队的匿名性越来越高，项目的风险行为也越来越具有可能性。CertiKKYC能够使项目团队去匿名化，并建立更大的问责制，从而协助建立项目的可信度。

CertiK漏洞赏金计划则从世界顶级的白帽黑客当中收集情报，以在恶意行为者利用漏洞之前将其及时发现。CertiK的安全专家团队将负责筛查和鉴定所有提交材料，并协助客户进行正确的修复。我们的0%费用模式降低了项目团队的支付负担，白帽黑客可因此获取全额赏金。

标签：WEBERTWEB3certikweb3.0币狗狗币ERTHweb3域名.tidcertik币价

中币热门资讯