EFI:慢雾：复盘2020 DeFi、交易所和公链领域安全与隐私大事件

2020?年，无论从哪个角度来讲，对区块链和数字货币来说都是非凡的一年。我们见证了DeFi和开放金融生态系统的爆炸性增长。我们见证了作为新技术基础设施代表之一的区块链被纳入“新基建”，我们见证了中国推出央行数字货币(CBDC)的同时，更多的国家地区开始关注并发展区块链，全球性区块链的“竞赛”已经开始。

据慢雾科技区块链被黑档案库?(hacked.slowmist.io)?数据统计，2020年区块链生态被公开的区块链安全事件共122起：其中智能合约及代币安全事件54起，交易所安全事件29起，公链攻击事件12起，钱包攻击事件12起，其他攻击事件15起。

慢雾区块链被黑档案库攻击事件累计

随着各种应用落地，区块链数字资产引发的安全问题总体呈上升趋势，数字货币犯罪五花八门，盗币、、非法集资、、暗网非法交易、犯罪等案件频发，各种原因造成的“黑天鹅”事件层出不穷。通过数据统计，可以看到今年智能合约安全事件明显增多，交易所攻击事件也是占比较大，数字货币、勒索、事件几乎每月都会发生。

慢雾科技将通过这篇文章梳理2020?年区块链安全与隐私生态发生的影响重大的事件，为读者回顾事件详解，同时对每类事件附上慢雾观点。虽然本文列举的仅是冰山一角，但具有很大的代表性，让我们通过本文一起来窥见2020年区块链生态世界的“不平凡”。

01DApp及DeFi安全事件??

bZx遭遇两次闪电贷攻击

2月15日，DeFi贷款协议bZx遭受攻击，攻击者同时跨多个协议完成了一笔闪电贷杠杆套利交易，导致价值35万美元的ETH被盗。2月18日，bZx再次遭受闪电贷攻击，攻击者通过控制预言机价格获利2388个ETH，约64.4万美金。

MakerDAO清算机制异常

3月12日，由于以太坊ETH的价格暴跌，MakerDAO的大量抵押债仓跌破清算门槛，引发了清算程序执行。原本应该参与到清算过程中的清算机器人(Keeperbot)因为设置了较低的gas值，导致出价受阻，一位清算人(Keeper)在没有竞争者的情况下，以0DAI的出价赢得了拍卖。

Uniswap的ERC777重入风险

4月18日，黑客利用DeFi平台Uniswap和ERC777标准的兼容性问题缺陷，对Uniswap实施了重入攻击。具体而言，黑客在交易ETH-imBTC时，利用ERC777标准中进行转账的tokensToSend回调函数实现了重入攻击，总获利34万美元。

DeFi平台Lendf.Me遭受重入漏洞攻击

4月19日，以太坊DeFi平台Lendf.Me遭受重入漏洞攻击，损失约2500万美元。后慢雾安全团队协助追回了被盗资产。

慢雾：Inverse Finance遭遇闪电贷攻击简析:据慢雾安全团队链上情报，Inverse Finance遭遇闪电贷攻击,损失53.2445WBTC和99,976.29USDT。慢雾安全团队以简讯的形式将攻击原理分享如下：

1.攻击者先从AAVE闪电贷借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子获得5,375.5个crv3crypto和4,906.7yvCurve-3Crypto,随后攻击者把获得的2个凭证存入Inverse Finance获得245,337.73个存款凭证anYvCrv3Crypto。

2.接下来攻击者在CurveUSDT-WETH-WBTC的池子进行了一次swap,用26,775个WBTC兑换出了75,403,376.18USDT,由于anYvCrv3Crypto的存款凭证使用的价格计算合约除了采用Chainlink的喂价之外还会根据CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的实时余额变化进行计算所以在攻击者进行swap之后anYvCrv3Crypto的价格被拉高从而导致攻击者可以从合约中借出超额的10,133,949.1个DOLA。

3.借贷完DOLA之后攻击者在把第二步获取的75,403,376.18USDT再次swap成26,626.4个WBTC,攻击者在把10,133,949.1DOLAswap成9,881,355个3crv,之后攻击者通过移除3crv的流动性获得10,099,976.2个USDT。

4.最后攻击者把去除流动性的10,000,000个USDTswap成451.0个WBT,归还闪电贷获利离场。

针对该事件，慢雾给出以下防范建议：本次攻击的原因主要在于使用了不安全的预言机来计算LP价格，慢雾安全团队建议可以参考Alpha Finance关于获取公平LP价格的方法。[2022/6/16 4:32:58]

DeFi项目Hegic代码出现漏洞致用户资产被永久锁定

4月27日，DeFi项目Hegic代码出现漏洞导致用户资产被用户永久锁定。在该项目上线几小时后，其代码中的一个错误锁定了该平台智能合约价值2.8万美元的用户资金，由于该漏洞将资金锁定在了过期合约中，使其无法被访问。

Bancor新合约出现安全漏洞

6月18日，由于新的BancorNetwork合约上未经验证的safeTransferFrom()函数，用户资金即将被耗尽。Bancor团队表示：1.两天前发布的新BancorNetworkv0.6合约中发现了一个安全漏洞；2.在发现漏洞之后团队进行了白帽攻击，以将资金转移到安全地址；3.智能合约已完成审核。但还有135,229美元的资金被两个未知套利机器人抢先交易了。

Balancer流动性池两次遭黑客闪电贷攻击

6月29日，知名DeFi平台Balancer流动性池遭黑客闪电贷攻击，损失50万美金。Balancer流动性池遭闪电贷攻击，损失50万美金，Balancer上遭遇损失的为STA和STONK两个代币池，目前这两个代币池的流动性已枯竭。6月30日，黑客再次利用dYdX的闪电贷攻击了Balancer部分流动性矿池中的COMP交易对，将池子中未领取的COMP奖励抽走，获利10.8ETH，约合2408美金。

Vether(VETH)遭黑客攻击

7月1日，VETH在去中心化交易所Uniswap遭遇黑客攻击。黑客仅使用0.9ETH就盗走了919,299VETH(价值90万美元)。攻击事件发生后，VETH官方表示，「该合约被其放置在transferForm()中的UX改进所利用，这是我们的过错。我们将重新部署vether4，并将补偿所有受影响的Uniswap质押者。」

慢雾：Equalizer Finance被黑主要在于FlashLoanProvider合约与Vault合约不兼容:据慢雾区消息，6 月 7 日，Equalizer Finance 遭受闪电贷攻击。慢雾安全团队以简讯形式将攻击原理分享如下：

1. Equalizer Finance 存在 FlashLoanProvider 与 Vault 合约，FlashLoanProvider 合约提供闪电贷服务，用户通过调用 flashLoan 函数即可通过 FlashLoanProvider 合约从 Vault 合约中借取资金，Vault 合约的资金来源于用户提供的流动性。

2. 用户可以通过 Vault 合约的 provideLiquidity/removeLiquidity 函数进行流动性提供/移除，流动性提供获得的凭证与流动性移除获得的资金都受 Vault 合约中的流动性余额与流动性凭证总供应量的比值影响。

3. 以 WBNB Vault 为例攻击者首先从 PancekeSwap 闪电贷借出 WBNB

4. 通过 FlashLoanProvider 合约进行二次 WBNB 闪电贷操作，FlashLoanProvider 会先将 WBNB Vault 合约中 WBNB 流动性转给攻击者，随后进行闪电贷回调。

5. 攻击者在二次闪电贷回调中，向 WBNB Vault 提供流动性，由于此时 WBNB Vault 中的流动性已经借出一部分给攻击者，因此流动性余额少于预期，则攻击者所能获取的流动性凭证将多于预期。

6. 攻击者先归还二次闪电贷，然后从 WBNB Vault 中移除流动性，此时由于 WBNB Vault 中的流动性已恢复正常，因此攻击者使用添加流动性获得凭证所取出的流动性数量将多于预期。

7. 攻击者通过以上方式攻击了在各个链上的 Vault 合约，耗尽了 Equalizer Finance 的流动性。

此次攻击的主要原因在于 Equalizer Finance 协议的 FlashLoanProvider 合约与 Vault 合约不兼容。慢雾安全团队建议协议在进行实际实现时应充分考虑各个模块间的兼容性。[2022/6/8 4:09:22]

Opyn看跌期权被外部参与者恶意利用

8月5日，链上期权平台Opyn披露其以太坊看跌期权被外部参与者恶意利用。Opyn指出，除以太坊看跌期权外的所有其他Opyn合约均不受此漏洞的影响。攻击者双重利用oToken并窃取了看跌期权卖方的抵押资产。据Opyn统计，截至目前共有371,260枚USDC被盗。Opyn团队根据ConvexityProtocol进行的白帽黑客攻击，成功从未偿付的保险库中收回了439,170USDC，以进一步减轻损失。

DeFi项目YAM合约存在漏洞

8月13日，知名以太坊DeFi项目YAM官方通过Twitter发文表明发现合约中存在漏洞，24小时内价格暴跌99%，导致了治理合约被“永久破坏”，价值75万美元的Curve代币被锁定而无法使用。

DeFi项目YFValue在YFV质押池中发现漏洞

8月25日，DeFi项目YFValue(YFV)?官方发布公告称，团队于昨日在YFV质押池中发现一个漏洞，恶意参与者借此漏洞对质押中的YFV计时器单独重置，1.7亿美元资金存在被锁定风险。目前已有一名恶意参与者正试图以此漏洞勒索团队。

EOS项目EMD跑路

9月9日，据慢雾区情报，EOS项目EMD疑似跑路。截至目前，项目合约emeraldmine1已向账号sji111111111转移78万USDT、49万EOS及5.6万DFS，并有12.1万EOS已经转移到changenow洗币平台。当前损失总市值：2,468,838美金?=17,281,866人民币。

慢雾：跨链互操作协议Poly Network遭受攻击并非由于网传的keeper私钥泄漏:对于跨链互操作协议Poly Network遭受攻击事件，慢雾安全团队分析指出：本次攻击主要在于EthCrossChainData合约的keeper可由EthCrossChainManager合约进行修改，而EthCrossChainManager合约的verifyHeaderAndExecuteTx函数又可以通过_executeCrossChainTx函数执行用户传入的数据。因此攻击者通过此函数传入精心构造的数据修改了EthCrossChainData合约的keeper为攻击者指定的地址，并非网传的是由于keeper私钥泄漏导致这一事件的发生。[2021/8/11 1:47:48]

DeFi流动性挖矿项目“珊瑚”遭攻击

9月10日，EOS生态DeFi流动性挖矿项目“珊瑚”的wRAM遭到黑客攻击，损失逾12万EOS。

Bantiample团队砸盘套现跑路

9月19日，币安智能链上的项目Bantiample团队已砸盘套现3000个BNB跑路，团队的主要开发者已经删除Telegram账号，项目代币BMAP单日跌幅超过90%。

以太坊挖矿项目LVFinance项目跑路

9月20日，据慢雾区情报，以太坊挖矿项目LVFinance项目疑似跑路，不到一个小时已有400万被转走，该项目通过伪造虚假审计网站并提供虚假审计信息诱投资者进行投资，待一段时间后资金池内金额足够大时进行跑路。目前，该项目网站lv.finance已无法访问。

SushiSwap仿盘项目GemSwap跑路

9月26日，名为GemSwap的SushiSwap仿盘项目被曝跑路，LP被卷走。查询发现，该项目在15点左右发布推特自曝其遭受了“whatitdobb”开发者的攻击，据了解，该项目早些时候完成了流动性迁移，但发起攻击的开发者在迁移之前就获得了相关许可，能够将流动池中的代币取走，目前尚不清楚此次攻击造成的具体损失。

Eminence(EMN)遭遇闪电贷攻击

9月29日，yearn.finance创始人AndreCronje刚推出的游戏项目Eminence(ENM)遭遇闪电贷攻击，黑客将800万美元的资金返还给了yearn部署者合约。官方将重新分配受攻击的800万美元。

DeFiSaver交易所漏洞致?31?万?DAI?被盗

10?月8号，去中心化钱包imToken发推表示，用户报告称31万枚DAI被盗，这与DeFiSaverExchange漏洞有关。DeFiSaver对此回应称，被盗资金仍旧安全，正在联系受害用户。截至目前，资金已全部归还受害用户。

以太坊项目WLEO合约遭到黑客攻击

10?月11日，以太坊项目WLEO合约遭到黑客攻击，导致价值4.2万美元的资金被盗。黑客通过将向自己铸造WLEO，并将其换成以太坊，从去中心化交易所Uniswap的池中窃取了以太坊。

Harvest.finance遭闪电贷攻击，被巨额套利

10?月26日，有用户发现DeFi挖矿项目Harvest.finance被使用闪电贷功能实现了巨额套利。Harvest官方发推解释称，这次套利攻击起源于一笔巨额闪电贷，并通过多次操纵CurveyPool的价格，以套取fUSDT、fUSDC的价差进而获利。

SharkTron?匿名开发者跑路

动态 | 慢雾：Electrum“更新钓鱼”盗币攻击补充预警:Electrum 是全球知名的比特币轻钱包，支持多签，历史悠久，具有非常广泛的用户群体，许多用户喜欢用 Electrum 做比特币甚至 USDT(Omni) 的冷钱包或多签钱包。基于这种使用场景，Electrum 在用户电脑上使用频率会比较低。Electrum 当前最新版本是 3.3.8，而已知的 3.3.4 之前的版本都存在“消息缺陷”，这个缺陷允许攻击者通过恶意的 ElectrumX 服务器发送“更新提示”。这个“更新提示”对于用户来说非常具有迷惑性，如果按提示下载所谓的新版本 Electrum，就可能中招。据用户反馈，因为这种攻击，被盗的比特币在四位数以上。本次捕获的盗币攻击不是盗取私钥（一般来说 Electrum 的私钥都是双因素加密存储的），而是在用户发起转账时，替换了转账目标地址。在此我们提醒用户，转账时，需要特别注意目标地址是否被替换，这是近期非常流行的盗币方式。并建议用户使用 Ledger 等硬件钱包，如果搭配 Electrum，虽然私钥不会有什么安全问题，但同样需要警惕目标地址被替换的情况。[2020/1/19]

11月10?日，基于Tron区块链的DeFi项目、JustSwap白名单项目SharkTron的匿名开发者DanielWood跑路，尽管目前不清楚具体损失，但推特用户报告称损失了3.66亿至4亿枚TRX(价值约1000万美元)。

Akropolis合约遭多次连续重入攻击

11月13日，黑客利用Akropolis项目存在的存储资产校验缺陷，向合约发起连续多次的重入攻击，致使Akropolis合约在没有新资产注入的情况下，凭空增发了大量的pooltokens，进而再利用这些pooltokens从YCurve和sUSD池子中提取DAI，最终导致项目合约损失了203万枚DAI。

ValueDeFi协议遭闪电贷攻击

11月15日，ValueDeFi协议周六遭到了闪电贷攻击。据悉，攻击者从Aave协议借了80000ETH，执行了一次闪电贷攻击，在DAI和USDC之间进行套利。攻击者在利用740万美元DAI后，向ValueDeFi退还了200万美元，保留了540万美元。随后，ValueDeFi团队发推证实其MultiStablesvault遭到了“一次复杂的攻击，净损失达600万美元。

CheeseBank?遭攻击损失?330?万美元

11月16日，基于以太坊的去中心化自治数字银行平台CheeseBank因黑客攻击遭受了330万美元的损失。黑客通过利用基于自动做市商(AMM)的预言机在dYdX、Uniswap等平台上进行了一系列恶意借贷操作，共导致价值超330万美元的损失，其中包括200万美元的USDC。

OUSD遭闪电贷+重入攻击

11月17日，DeFi协议OriginProtocol稳定币OUSD遭到攻击，攻击者利用dYdX的闪电贷进行重入攻击，造成价值770万美元的ETH和DAI的损失。

PickleFinance?未经审核的合约漏洞被利用

11月22日，曾被V神发推文赞赏的DeFi项目PickleFinance(酸黄瓜)，因被黑客攻击未经审核新创建的智能合约漏洞，损失近2000万美元的DAI。

Compound喂价错误致?9000?万美元资产遭清算

11月26日，Compound9000万美元资产遭清算。Debank创始人hongbo表示，此次Compound巨额清算事件其实是因预言机数据源CoinbasePro的DAI价格剧烈波动而导致，通过操控预言机所依赖的信息源可以实现短时间的价格操纵，以误导链上价格。

分析 | 慢雾：韩国交易所 Bithumb XRP 钱包也疑似被黑:Twitter 上有消息称 XRP 地址（rLaHMvsPnPbiNQSjAgY8Tf8953jxQo4vnu）被盗 20,000,000 枚 XRP（价值 $6,000,000），通过慢雾安全团队的进一步分析，疑似攻击者地址（rBKRigtRR2N3dQH9cvWpJ44sTtkHiLcxz1）于 UTC 时间 03/29/2019?13:46 新建并激活，此后开始持续 50 分钟的“盗币”行为。此前慢雾安全团队第一时间披露 Bithumb EOS 钱包（g4ydomrxhege）疑似被黑，损失 3,132,672 枚 EOS，且攻击者在持续洗币。更多细节会继续披露。[2019/3/30]

SushiSwap?遭到流动性提供者攻击

11月30日，据慢雾区情报，以太坊AMM代币兑换协议SushiSwap遭到流动性提供者攻击，损失约1.5万美元。

WarpFinance遭遇闪电贷攻击

12月18日，流动性LP代币抵押借贷DeFi协议WarpFinance遭遇闪电贷攻击，约800万美元被盗。后WarpFinance针对遭到的闪电贷攻击发布声明。据称，闪电贷攻击者最多可盗走价值770万美元的稳定币，不过WarpFinance团队已拟定计划来追回仍在抵押金库中的价值约550万美元的稳定币，这550万美元将按比例分给遭受损失的用户。

Cover?合约漏洞遭黑客攻击

推特网友表示，由于奖励合同中的一个漏洞，CoverProtocol损失了300万美元。此外，链上数据显示，已有攻击者(0xf05Ca...943DF)利用Cover合约共增发了约1万枚COVER，并且已将其换成了WBTC和DAI等资产。后区块浏览器显示，此前通过增发COVER获利300万美元的攻击者(地址标签为GrapFinance:Deployer)将4350枚ETH返还给标签为YieldFarming.insure:Deployer的地址。CoverProtocol官方发推文宣布，将根据漏洞被滥用之前的快照提供全新的COVER代币。并且攻击者退还的4350ETH也将通过快照处理归还给LP代币持有者。

慢雾观点

由于DeFi项目的火热，针对DeFi项目的钓鱼攻击活动越来越频繁，手法也越来越高级。投资者在进行项目投资时应注意项目风险，要注意平台用的智能合约有没有开源、平台本身有没有安全审计、智能合约有没有问题，同时任何DeFi项目上线前都应该经过专业安全团队的充分审计。

02交易所安全事件?

Altsbit?交易所遭攻击后关闭

2月5日，意大利加密货币交易所Altsbit存放热钱包私钥的服务器被入侵，导致损失了6.929个比特币、23个ETH，以及其他数量的加密货币，随后交易所宣布于5月8日关闭。

VBITEX交易所被入侵

2月17日，VBITEX交易平台发布公告称被黑客入侵，导致平台数据被恶意篡改、虚拟资产被盗。

加密货币交易所?Bisq被盗

4月9日，加密货币交易所Bisq被盗，攻击者利用Bisq交易协议中的一个缺陷，针对单笔交易来窃取交易资金。7名受害者共损失3个BTC和4,000个XMR。

LMEX?联交所遭黑客入侵

5月27日，LMEX联交所在社群发布关于交易所运营调整通知称：平台遭黑客入侵被盗损失了15万枚USDT，致使平台资不低债，目前已关闭充提。

加密货币交易所?Cashaa?被盗

7月12日，英国加密货币交易所Cashaa表示，黑客从其中一个钱包中窃取了超过336枚比特币。目前，该交易所已停止所有与加密有关的交易。

西班牙加密货币支付应用?2gether?被盗

7月31日，西班牙加密货币支付应用2gether宣布被黑客盗取了140万美元。

暗网市场EmpireMarket?取资金后关闭运营

8月30?日，著名暗网市场EmpireMarket已关闭运营，退出时该网站共取了130万用户的约2638枚比特币，价值近3000万美元。

欧洲交易所ETERBASE?部分热钱包被盗

9月8日，欧洲加密交易所ETERBASE遭遇黑客攻击，导致部分热钱包被盗，包括BTC、ETH及ERC-20代币、XRP、TRX、XTZ和ALGO。损失逾500万美元资产。其中，ETH和ERC-20代币地址损失的资金最多，达约390万美元，其次是XTZ地址，损失约47.1万美元。

Kucoin交易所遭黑客攻击

9月26日，Kucoin库币交易所遭到黑客攻击，大量ETH和ERC20代币被转移，其中包括11,486枚以太坊、19,788,586枚USDT、525,405枚Gladius(GLA)、77,874枚Hawala(HAT)、21,660,274枚OceanToken(OCEAN)、8,893,428枚Chroma(CHR)、30,452,178枚Ampleforth(AMPL)、198,678,919枚AnkrNetwork(ANKR)等。此后，该黑客跑路资金遭到各个大交易所联合封堵。

Liquid?数据泄露

加密货币交易所Liquid首席执行官MikeKayamori在官网发布通知说，11月13日交易所发生了一起数据泄漏安全事件。管理一个核心域名的域名托管提供商错误地将该帐户和域名的控制权转移给了一个恶意入侵者，使其可以改变DNS记录，进而控制大量的内部电子邮件帐户，并且能够部分破坏交易所的基础设施并获得存储文档的访问权限。

英国交易所Exmo发生重大安全漏洞

12月21日，英国加密货币交易所Exmo发生重大安全漏洞，导致平台已冻结所有提款。根据TheBlock的研究分析师的说法，Exmo似乎损失了1,050万美元的资金。

俄罗斯交易平台Livecoin遭攻击

12月24日，俄罗斯加密货币交易平台Livecoin遭遇黑客攻击，平台上的代币价格已被操控。

慢雾观点

交易所资金量巨大，很容易引来黑客的攻击，一旦出现问题几乎所有用户都会受到影响，交易所应加大防范。同时。黑客也会恶意入侵交易所使其数据泄露借此获利，平台在早期架构设计时应做好所有安防措施，避免此类信息泄露事件的发生。此外还有一些平台方暴雷跑路的恶意行为，毕竟在金钱面前，人性经不住考验。

03公链安全事件??

BitcoinGold?遭两次51%攻击

1月28日，BitcoinGold遭遇两次51%算力攻击，两笔对交易所的充值交易均被撤销，涉及约1900个BTG和5267个BTG，接近9万美元。

Cocos-BCX映射钱包信息遭盗取

4月3日，Cocos-BCX经与交易所核实和内部调查，由于映射钱包信息遭恶意盗取，所以出现了资产丢失和恶意抛售。与交易所核实确认后，本次被盗取的代币总额为1,087,522,819.2个COCOS，交易所确认该总额已被抛售完毕。

Filecoin代码漏洞可实现?Filecoin?无限增发

5月28日，石榴矿池技术人员发现Filecoin代码中的严重漏洞，通过该漏洞可以实现Filecoin的无限增发。石榴矿池表示，为了证明漏洞的有效性，6Block旗下的三个矿工账号t01043、t027999、t0234783通过该漏洞已实现16亿Filecoin的增发，占据了Filecoin富豪榜前三名。

Ravencoin(RVN)区块链存在漏洞

7月3日，CryptoScope团队发现Ravencoin(RVN)区块链存在漏洞，经过rvn首席开发团队确认后已发布了紧急更新。据悉，该漏洞可生成额外的RVN，但是不会影响或控制已经存在的RVN资产。由于该漏洞造成了RVN总量比原计划多出了1.5%，并且漏洞产生的RVN已经流入市场，因此无法进行回滚等操作。

ETC连遭三次大规模攻击

8月1日，Bitfly发推称，ETC区块链在区块高度10904146经历了一次3693个区块的链重组。这导致所有状态修建节点停止同步。ETC链近6小时没有出块，随后出块恢复正常。8月6日，Bitfly官方发推称，今日ETC又遭遇了一次大规模51%攻击。攻击已导致4000多个区块发生重组。报告显示，此次攻击的发起者与第一次攻击事件的发起者是同一名矿工。攻击者从本次攻击中获利了至少168万美元。8月30?日，Bitfly官方发推称，今日ETC又遭遇了一次大规模51%攻击，导致7000多个区块发生重组，相当于大约两天的挖矿时间。所有丢失的区块将从未到期的余额中移除，其将检查所有支出以查找丢失的交易。

Chainlink节点运营商遭垃圾邮件攻击

9月5日，九个Chainlink节点运营商遭到所谓“垃圾邮件攻击”，攻击者从他们的“热钱包”中获取了大约700枚ETH。

Grin网络遭51％攻击

11月10?日，Grin网络最近遭受51％攻击。一个未知实体在周六控制了超过57%的网络算力。

Aeternity(AE)遭51%攻击

12月8日，据Aeternity官方推特证实，Aeternity(AE)昨日遭到了黑客51%攻击，据Aeternity社区核心成员披露，此次51%攻击造成的损失超过3900万枚AE代币，官方团队正在解决问题，此次受损的主要是交易所和矿池，交易所集中于OKEx、Gate、Binance。

慢雾观点

公链一旦出现漏洞就会影响整个链，所以公链在上线前一定要经过专业的安全审计。建议公链团队与可信且职业的安全团队进行深入合作，部署因地制宜的安全建议，提升安全维度。

04钱包安全事件??

Electrum?多次遭遇钓鱼攻击

1月19日，Electrum遭遇“钓鱼”盗币行为。8月30?日，GitHub用户”1400BitcoinStolen“表示其比特币巨额款项消失在黑客攻击中。该用户使用的是比特币钱包Electrum软件，该用户一直没有安全更新此软件，因此当他转移比特币时提示更新和修补潜在问题，但当他根据提示操作时，该软件利用了一个漏洞连接了黑客的服务器，1400?枚比特币(价值1600万美元)被存入了黑客的钱包。10月12日，ZDNet一项调查显示，黑客通过引诱用户安装假软件更新，从比特币钱包Electrum的用户那里窃取了2200万美元。而该手法最高出现在2018年。而自两年前首次发现这种攻击以来，Electrum团队已经采取了一些措施来防止这种攻击。但这种攻击仍然适用于使用旧版本应用程序的用户。

IOTA官方钱包应用Trinity出现漏洞

2月12日，黑客利用IOTA官方钱包应用Trinity的漏洞窃取资金，官方之后宣布关闭整个网络。

EtherCrash冷钱包被盗

10?月30?日，网络犯罪情报公司HudsonRock首席技术官AlonGal发推表示，10?月27日，自称“以太坊最成熟、规模最大的菠菜游戏”EtherCrash“冷钱包被盗，损失约250万美元，疑似为内部人员所为。

Ledger?遭数据泄露

12月21日，包含270,000多个Ledger客户个人信息的数据库在RaidForums上泄漏，这些被泄露的信息包括Ledger硬件钱包购买者的电子邮件、实际地址和电话号码。RaidForums是一个买卖、共享和共享被黑信息的市场。此次被泄漏的Ledger信息是由今年6月遭受数据泄露导致，包含超过100万Ledger客户的电子邮件。LedgerCEO随后表示不会为遭到数据泄露的用户提供补偿。

慢雾观点

用户在选择钱包时尽量选择国际知名、一流的钱包，同时注意看钱包App的代码是否开源、代码是否经过安全审计、团队内是否有CSO或安全负责人，这些都可能影响到钱包不断迭代、升级过程中的安全是否有保障。同时，作为用户一定要从钱包的官网下载App，避免误入钓鱼网站下载到被植入了后门的钱包App。

05其他类型安全事件

SIM?卡被黑导致被盗

2月22日，BitcoinBuilder创始人、Mt.Gox第二大债权人JoshJonesSIM卡被黑，导致价值$45,000,000的数字货币被盗。

TridentCryptoFund?被攻击致数据泄露

3月5日，加密基金TridentCryptoFund遭黑客攻击，26.6万名用户数据被泄露。

加密货币挖矿组织BitClubNetwork?电信欺诈

7月10?日，根据美国新泽西州联邦检察局发布的公告显示，程序员SilviuCatalinBalaci承认参与建立了加密货币挖矿组织BitClubNetwork，并进行电信欺诈，出售未经注册的证券。Balaci确认，在该计划实施的五年过程中，BitClub从投资者手中共取至少7.22亿美元的比特币。

多个推特账号被黑

7月16日凌晨，多位名人政要以及一些公司的推特账号被黑客袭击，这些推特账户都发布了相关的数字货币钓鱼局信息。不过，这些钓鱼信息在发布几分钟后就被删除。截至目前，者共收到12.86枚比特币。

CWT被劫持并同意支付比特币

8月1日，美国第五大旅游公司CWT同意向劫持其计算机系统的黑客支付价值450万美元的比特币。

以色列无线芯片和摄像头传感器制造商遭勒索软件攻击

9月7日，黑客向以色列纳斯达克上市无线芯片和摄像头传感器制造商TowerSemiconductorLtd(TSEM)进行勒索软件攻击，并索要数十万美元比特币赎金。为了安全起见，TSEM关闭了一些正在运行的服务器，并暂停了部分工厂的生产。

富士康遭勒索软件攻击

12月8日，富士康遭到了勒索软件的攻击，短暂地导致其在墨西哥的生产设施出现问题，并导致数据被盗。?对此，富士康回应称，其美洲工厂近日确实遭受网络勒索病攻击，目前其内部资安团队已完成软件以及作业系统安全性更新，同时提高了资安防护层级。同时，受影响的厂区的正在恢复网络，对集团整体营运影响不大。

DeFi保险协议?NexusMutual?创始人个人地址被攻击

12月14日，DeFi保险协议NexusMutual在推特上表示，其创始人HughKarp的个人地址被一位平台用户攻击，被盗37万NXM，损失超过800万美元。官方表示这是一次具有针对性的攻击，只有Karp的地址收到影响，NexusMutual或其他成员没有后续风险。官方称，Karp使用的是硬件钱包，攻击者获得了对他电脑的远程访问权限，并修改了钱包插件MetaMask，他签署了交易，将资金转移到攻击者自己的地址。

OneCoin?加密货币庞氏局

12月14日，阿根廷科尔多瓦市检察院起诉了涉及OneCoin加密货币庞氏局案件的12名者，并于上周四下令逮捕，目前其中八人已被捕。此前报道，OneCoin庞氏局使相关投资者在从2014年4月至2018年3月期间因投资该项目遭受了共44亿美元的财务损失。

慢雾观点

最近市场变热，随之而来的是勒索、、、钓鱼事件层出不穷。针对平台或个人的各类攻击形势严峻，目前已经造成大量个人百万到千万级别的损失！请大家务必提高警惕，加强自身安全意识，务必开启二次认证(短信或GA，不推荐使用邮箱验证码)，谨慎保管好各类私密信息。

2020年是跌宕起伏的一年，疫情黑天鹅、比特币从3.12事件低谷恢复并于近期涨至接近历史高点、流动性挖矿DeFi繁荣增长并快速落地等。区块链既是未知的，又是充满可能性的，希望区块链新的一年能迸发出更大的能量，创造出更多元化的产业。

标签：EFIETHDEFDEFIDeFinerYETHDeFi Fireflydefi币圈

OKB热门资讯