5

十年损失超200亿美元，黑客盯着区块链

 3 years ago
source link: https://www.8btc.com/article/6723280
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
neoserver,ios ssh client

技术不懂是非善恶，区块链黑客事件从未断绝。

链新（ID:ChinaBlockchainNews）原创
作者 | 廖羽

2021年的区块链世界，光明面欣欣向荣，黑暗面也在稳步发展。

据SlowMist Hacked不完全统计，2021年区块链世界频发安全事件，在数量、危险性、涉案金额、影响规模等方面远超往年，其中还出现了罕见的“白帽黑客”事件，给人们敲响了安全警钟。

所谓“白帽黑客”，特指以黑客惯用破坏攻击之法，行维护网络安全之事的一群人，相对于“黑帽黑客”而存在。不过，2021年最出名的“白帽黑客”却未在攻击行为实施之前获得许可，且涉案金额高达6亿美元，只是最后黑客全额奉还被盗资产，而Poly Network也放弃追究其法律责任罢了。

技术不懂是非善恶，区块链黑客事件从未断绝。交易所、钱包、公链、各生态 DApp、DeFi项目……究竟哪一个是黑客们关注的核心？

盗走6亿美元资产又送回，黑客说“只想提个醒”

2021年8月，一位匿名黑客袭击Poly Network（异构跨链协议），将以太坊、BSC（币安智能链）、Polygon（以太坊侧链）链上2.5亿美元、2.7亿美元、8500万美元的加密资产悄悄转移，总金额高达6.1亿美元，全程耗时34分钟。

不过，随着各方展开围堵，黑客在其后12天内将盗走的大部分资产退回，声称自己对金钱不感兴趣，“白帽黑客”的标签就此诞生。

6.1亿美元，这不仅是DeFi史上涉案金额最大的黑客事件，更是整个加密货币史上涉案金额最大的黑客事件，规模超过著名Mt.Gox 事件（744408 枚BTC，当时约 4 亿美元）以及Coincheck 大案（5.23 亿枚 XEM，当时约 5.34 亿美元）。

面对如此大规模的安全事件，“当事人”不敢懈怠，Poly Network当天晚上8点38分发文，对外界公布其受到的攻击，贴出该黑客在不同链上的具体地址，呼吁矿工及交易所伸手援助，阻止黑客地址所发起的交易。

FlN-Xmivajaur8oYfI-Wb9hTMVy6

（图片来源于Poly Network推特截图）

币安CEO赵长鹏、OKex CEO Jay等先后声援，稳定币USDT发行方Tether首席技术官Paolo Ardoino也声明Tether已冻结该黑客地址3300万USDT。

尽管围追堵截，可黑客仍旧以各种手段快速混币（即一个交易中包括大量输入和输出，输入与输出之间的联系被事实上割裂，不易追踪），当日就通过Curve将9706万美元USDC兑换为DAI，又在BSC上利用Curve分叉项目Ellipsis Finance混币近1.2亿美元。

据局面新闻报道，事发当日，Poly运营方团队通宵达旦，除了因为数额巨大的资产被盗事件背负的压力外，加密社区中层出不穷的猜想也让其如芒刺在背，安全研究员Mudit Gupta、Primitive Ventures创始合伙人Dovey Wan等先后发文暗示此事“内部攻击”的可能，更有甚者猜测为Poly“自导自演”。

声势浩大的围剿行动激发了围观者的吃瓜心理，事发当日，有“好事者”向黑客地址发送交易，留言提醒其USDT已被列入黑名单，黑客对此回礼13.5ETH（约42495.84美元）。

“致富之路”就此开启，大量“吃瓜群众”蜂拥而至，有的谈项目、要投资，有的谈梦想、要学费，有人让黑客“拉盘”自己持有的币，更有甚者直接拜师、认大哥。

Fj_5-0z1rdtyFSgvnhZ4XwfSX696

可就在围观者看热闹的时候，事件却发生了反转。

事发次日，攻击Poly Network的黑客主动现身Etherscan，通过链上交易备注表示其愿意归还被盗资产，要Poly项目方为其提供一个多签钱包。

“为什么要退款？”“我对金钱不是很感兴趣，”黑客如此回复道：“获取这么多财富已经是一个传奇，而拯救世界更是永恒的传奇。”

2021年8月11日，黑客归还了价值470万美元的资产，其中包括100万美元的UCDC、价值110万美元的BTCB，以及价值260万美元的其他资产。同日稍晚，黑客再次在币安智能链上向Poly Network团队留下的收款地址归还近1.2亿BUSD、2.66万ETH和1000BTCB，总价值约2.5亿美元。

在接下来的12天里，黑客逐步归还了BSC、Ploygon、以太坊上的所有被盗加密资产，此事的舆论风向也从一开始对被盗事件的震惊、批判，转变为对区块链网络安全的关注。

2021年8月13日，F2Pool联合创始人、Cobo联合创始人兼CEO神鱼发布博文，称Poly Network的攻击者为网络安全的护卫者——“白帽黑客”，还表示将在Cryptovoxels里建造关于纪念Poly Network事件的纪念碑，致谢所有参与者。而后，Poly Network也宣布进行主网升级，并邀请此前攻击者为Poly Network首席安全顾问。

哪里有钱，哪里就有黑客

回头来看，“白帽黑客”事件发生在跨链协议被攻破的基础上，后续漏洞还涉及以太坊公链、Polygon生态、稳定币USDT等，这使得黑客能在币安、OKEx、Tether等头部企业封锁围剿之下还能快速混币，转移被盗资产，这其中展现的安全隐患，值得引起加密世界的警惕。

据SlowMist Hacked数据不完全统计，整个2021年区块链生态被公开的区块链安全事件共 236 起，损失超98.86亿美元。其中各生态DApp、DeFi 等安全事件127起，占绝大多数，此外还有交易所安全事件14起，公链安全事件8起，钱包安全事件3起，其他类型安全事件84起（项目方跑路等）。

FimzDKJGjy9Qenkvykae8Yz-kt98

从上述数据中可以看出，各生态的DApp、DeFi项目、交易所部分是2021年区块链世界黑客安全事件发生的重灾区。

一位资深业内安全人士告诉《链新》，加密货币交易所中聚集着大量资金，人员复杂，防御脆弱，用户缺乏足够的安全意识，易产生安全漏洞，不论是从薄弱点还是获利的角度上来说，都是黑客们不容忽视的“香饽饽”，而通过攻击交易所冷/热钱包形式进行盗币活动，是2021年的显著特质。

2021年2月，新西兰交易所Cryptopia清算人Grant Thornton控制的冷钱包（自2019年1月一直处于休眠状态）被盗事件中，黑客就通过访问钱包盗走约196万美元的Xtake。同年8月19日，日本加密交易平台Liquid同样是热钱包被盗，共计损失约 9135万美元。

而除了交易所之外，汇聚资金的钱包也对黑客们形成吸引力，这导致2021年钱包泄漏安全事件层出不穷。据AML11月报告，假钱包App已致上万人被盗，损失高达13亿美元。

在交易所之外，值得一提的还有公链攻击。从2021年8月开始，先有BSV遭51%攻击，近100个区块发生重组，再有ETC主网因以太坊客户端Geth漏洞遭遇分叉，而后Solana主网Beta版也遭遇拒绝服务攻击，网络离线17个小时。

可不管是公链、钱包、还是交易所，他们在涉事金额、攻击次数、影响范围等方面都比不过DeFi、DApp、NFT和跨链部分，而这一部分也是去年发生黑客攻击事件最频繁的领域。

自DeFi诞生以来，就伴随着无数风险。近年来，许多DeFi项目价值一直在爆炸式的翻倍增长，被黑事件也愈演愈烈。闪电贷攻击、合约漏洞、兼容性或架构问题、私钥泄露或前端攻击、内部作案……DeFi中种种套路层出不穷，令人瞠目结舌。

2021年，ETH生态SushiSwap两次遭遇攻击，SIL.Finance合约出现高危漏洞。BSC生态中，Cream Finance三遭闪电贷攻击，累计损失超过1.87亿美元。EOS生态flash.sx闪电贷智能合约遭受到“re-entry”攻击。Polygon生态中，收益耕作协议PolyYeld Finance项目合约被利用。此外，HECO生态中也发生DDEX代码后门事件等。

安全事件频发于“DeFi、DApp、NFT和跨链”部分，此现象不仅发生于2021年，据《链新》观察，该规律从2018年安全事件数量飙升之后就有所显现，甚至延续到2022年。

十年损失239亿美元

从2008年到2022年，黑客事件如蛆附骨跟随着区块链的发展而日渐壮大。

据SlowMist Hacked数据显示，自2012年至今，全球区块链生态中仅被公开的区块链安全事件就有610起，损失总金额约为238.78亿美元。按年限区分，2018年后呈现出明显的阶段性变化，数量和涉案金额都较之前翻倍增长。

Fkf2YnMOAijB-6xH9Ppj0JIrSw4e

区块链安全公司PeckShield和BCSEC调查数据显示，2018全年，区块链安全事件数量高达138起，造成的经济损失为22.38亿美元，其中以太坊公链、EOS公链首当其冲，其后依次是交易所、钱包。

其中，以太坊公链事件超54起，如“BEC美链遭黑客攻击，一日蒸发9亿美元”;EOS公链出现超49起安全事故，大多源于DApp生态爆发期间（8-11月）引起的随机数、假通知、交易回滚等攻击事件，直接经济损失高达74.7万个EOS。

相较之下，交易所攻击虽然有十余起，但也只有2018年1月26日“日本Coincheck交易所被盗”和同年3月7日“币安交易所被黑客钓鱼”两个案子影响较大。BTC事故仅有3起，类似9月的“BTC超发漏洞”，也在造成危害前得以修复。

在此基础上，《链新》发现，在以公链、交易所、钱包、ETH生态、BSC生态、波场生态、EOS生态、Ploygon生态、HECO生态等为代表九大安全事故场所中，EOS生态、ETH生态尤其被黑客关注，交易所受到的攻击数也相对较多，这三大领域共发生安全事件超356起，涉事金额超125亿美元，总体占比超过52.35%。

FvQaslf08PZ7ffvtY_IbGCrLF6Ey

同样的规律也体现在Atlas VPN团队发布的“2020年区块链黑客”系列报告中。Atlas VPN团队指出，2020年有47次针对ETH DApps的成功攻击，以及28起加密货币交易所违规行为。

黑客攻击聚焦于DeFi、DApp各生态、交易所的现象一如既往，直到2022年还在呈现。

截至2022年1月18日，据SlowMist Hacked统计，全球区块链生态公开的2022年区块链安全事件共16起，其中除了6起跑路事件外，都是DeFi、DApp各生态的安全事件和交易所的安全事件。

在这样的情况下，诸多权威机构纷纷发布报告，提醒加密世界注意防范黑客攻击，加强区块链安全建设。此前McAfee就曾出具《区块链威胁报告》，声明“区块链是去中心化在线交易的革命性基础，但有安全风险”。2021年3月，中国信通院也发布《区块链安全能力测评与分析报告》，指出区块链现存“十大安全隐患”，再三提醒外界树立防范意识。

本文为链新（ID：ChinaBlockchainNews）原创，未经授权禁止擅自转载。


report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK