零时科技区块链安全周报 | 黑客攻击手法逐渐高级化

零时科技 2020-10-13 11:43

事件分析

据 零时科技 区块链安全威胁情报平台数据统计,上周区块链生态中公开的安全事件共9起,其中关注较高的为新加坡加密货币交易所KuCoin被攻击,所有热钱包被清空,目前估计损失最小为1.5亿美元,存款和取款业务已经暂停;DeFi Saver 用户的 31 万枚 DAI 被耗尽,DeFi Saver 承认与 6 月份报告的交易所漏洞有关,并表示资金是安全的;7 笔共约 2420 枚 Bitfinex (价值近 2600 万美元)于 2016 年被盗的比特币被转入未知钱包地址,近期黑客钱包地址频繁进行转账。

交易所安全事件

新加坡加密货币交易所KuCoin被攻击 所有热钱包被清空

10月9日,新加坡加密货币交易所KuCoin今天披露了一次大规模黑客攻击。该公司在其网站上发布的一份声明中证实,一名黑客侵入了其系统,并清空了其热钱包中的所有资金。KuCoin加密货币交易使用热钱包作为他们的临时存储系统,来存储目前在平台上交换的资产,它们被用来推动转换操作和资金转移。KuCoin表示,9月26日,他们发现黑客从热钱包中“大量取款”。黑客成功盗取了比特币资产、erc -20代币以及其他类型的代币。根据用户追踪被盗资金的Etherium地址,目前估计损失最小为1.5亿美元。据了解,KuCoin承诺补偿那些在黑客攻击中使用其冷钱包而失去资金的用户。在该公司的安全团队调查这一事件期间,存款和取款业务已经暂停。

DeFi Saver 用户的 31 万枚 DAI 被耗尽,DeFi Saver 承认与 6 月份报告的交易所漏洞有关,并表示资金是安全的

去中心化钱包 imToken 发推表示,用户报告称 31 万枚 DAI 已被耗尽,这与 DeFi Saver Exchange 漏洞有关。imToken 建议抵押债仓(CDP)自动化管理系统 DeFi Saver 立即销毁合约以挽回用户资金。imToken 表示,其安全团队正在调查该事件,并尝试排查所有受影响的用户钱包并发布警告。DeFi Saver 对此回应称,这部分资金是安全的,正在联系受影响用户。DeFi Saver 承认这与 6 月份报告的交易所漏洞有关。链闻此前报道,6 月份,DeFi Saver 表示该团队发现 DeFi Saver 应用系列中自有交易平台的一个漏洞,并尝试使用一次「白帽攻击」将受影响的 3 万美元资金转移至只有原始攻击者才能进入的智能合约中,同时该平台表示为了防止类似事件发生,已经将该自有交易平台从 DeFi Saver 应用中删除。更新:DeFi Saver 表示,已退还受影响用户资金。

数字货币诈骗

伪造Curve网站进行钓鱼,某用户被窃20枚比特币

据报道,近日有用户访问Curve交易所网站时遭受钓鱼攻击,损失20枚比特币。据悉,诈骗团伙利用谷歌广告系统购买谷歌搜索广告,伪装成Curve交易所进行诈骗广告投放。由于google新广告计划,广告通常会显示在搜索第一名,因此造成不少用户上当受骗。降维安全实验室建议用户保持警惕,认真甄别消息来源,仔细辩别域名,避免造成资产损失。Curve官方网站:curve.fi;Curve钓鱼网站:curve.frl。

伪造DeFi项目UniCats涉嫌骗取用户至少20万美元加密资产

据Decrypt消息,加密钱包ZenGo研究人员Alex Manuskin透露,一个所谓基于以太坊网络的“yield farming平台”UniCats涉嫌从几个用户那里窃取了包括去中心化金融平台Uniswap的治理代币UNI在内的至少20万美元加密资产。智能合约中的一个后门允许UniCats保留对其用户代币的控制权,即使这些代币已经从用户池中撤出。而此前针对Bancor的攻击也使用了类似的漏洞。

其他攻击事件

Bitfinex 2016 年黑客再次转移约 2420 枚比特币

10 月 7 日 22:55 起,7 笔共约 2420 枚 Bitfinex (价值近 2600 万美元)于 2016 年被盗的比特币被转入未知钱包地址。链闻注,2016 年夏天,Bitfinex 遭遇黑客攻击,导致近 12 万个比特币被盗。近期,Bitfinex 2016 年黑客钱包地址频繁进行转账。今年 8 月初,Bitfinex 悬赏至多 4 亿美元追回 2016 年被盗比特币。

跑路TRX流动性挖矿项目Gold Miner(黄金矿工)已追查到重要实名证据

基于TRX波场生态系统下的DEFI项目Gold Miner(黄金矿工)于10月7日20:30私自转移用户资产至币安卷款跑路,大量Gold Miner(黄金矿工)受害者表示已报警。同时,BitKeep钱包表示,目前已锁定项目方联系方式(微信号、QQ号、手机号)、实名资金来往(用户与项目方支付宝转账记录、)、公司信息(公司名称、公司地址、法人信息、公司网络备案、)资金流向、交易所账户、提币变现记录、个人照片、个人信息等信息。

上周区块链安全事件总结

  • 伪造Curve网站进行钓鱼,某用户被窃20枚比特币

  • 伪造DeFi项目UniCats涉嫌骗取用户至少20万美元加密资产

  • 杭州以比特币交易为幌子诈骗数千万元的团伙被判刑

  • 江苏南通公安局侦破一起比特币勒索病毒敲诈案

  • Robinhood 部分用户反映称账户资金被盗

  • 新加坡加密货币交易所KuCoin被攻击 所有热钱包被清空

  • DeFi Saver 用户的 31 万枚 DAI 被耗尽,DeFi Saver 承认与 6 月份报告的交易所漏洞有关,并表示资金是安全的

  • Bitfinex 2016 年黑客再次转移约 2420 枚比特币

  • 跑路TRX流动性挖矿项目Gold Miner(黄金矿工)已追查到重要实名证据

安全建议

  • 钱包和交易所要对系统安全体系应足够重视,定期对系统进行整体的安全评估测试

  • 钱包和交易所要建立完善的风控应急预案,比如控制转账频率,大额转账等

  • 投资者投资时应选择知名的可信度高的交易所

  • 不要随意安装未知来源的软件,选择正规渠道进行下载安装

  • 电脑服务器应避免打开不必要的端口,相应漏洞应及时打补丁,主机建议安装有效可靠的杀毒或其他安全软件

  • 在WEB浏览器上安装挖矿脚本隔离插件,例如MinerBlock,NoCoin等

  • 不要随意点击陌生人发给你的不明链接