Beosin：8月Web3领域攻击类安全事件损失总金额约2亿1054万美元

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年1月，各类安全事件涉及金额较2022年12月持续大幅下降。1月发生较典型安全事件超『19』起，各类攻击事件损失总金额约1464万美元，较去年12月下降约77%，比2022年任何一个月的损失金额都要低。 本月较大的安全事件为HECO生态跨链借贷平台LendHub因没有弃用旧合约而被攻击，损失近600万美元。此外，两起个人钱包被盗事件损失均超过百万美元，钱包的安全性问题依旧不容忽视。在黑客猖獗的2022年过去之后，2023开年的区块链安全态势总体相对平稳。本月针对项目方的攻击事件呈下降趋势，反倒是一些针对个人用户钱包、社媒账号的攻击事件有所增加。Beosin建议个人用户一定要提高防钓鱼意识，规范操作。本月发生的典型跑路事件均是通过后门代码进行Rug Pull，建议用户在交互前一定要仔细查看相关的审计报告，避免资产遭受损失。

据Beosin EagleEye 安全预警与监控平台监测显示，2022年10月，各类安全事件数量和涉及金额较9月大幅上升。10月发生较典型安全事件超25起，其中攻击类安全事件损失总金额约9亿8104万美元，约为9月损失金额的5.97倍。10月为2022年以来区块链领域损失金额最高的一个月。 根据Beosin安全团队统计，本月DeFi领域攻击事件频发，共发生11起单次损失金额超100万美元的事件，其中包括两起损失过亿的安全事件。本月BNB Chain官方跨链桥攻击事件涉及金额巨大，钱包安全在本月也是值得关注的重点，共发生3起典型安全事件。 和上月相比，本月被攻击的项目类型更加多样化，建议各种类型的项目方都应做好安全防护工作。本月钱包安全事件和私钥泄露事件有所增加，建议项目方和用户都应注重签名服务的安全性，保护好私钥，规范操作，谨慎使用第三方工具或组件，不要点击来路不明的链接。本月依旧有60%的攻击事件来自合约漏洞利用，建议项目上线前寻求专业的公司进行安全审计。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2022年11月，各类安全事件数量和涉及金额较10月有所下降。11月发生较典型安全事件超18起，各类安全事件损失总金额约5亿1809万美元。 本月DeFi领域攻击事件较上月有所下降。11月最大的安全事件为FTX交易所申请破产后不久，某黑客窃取约4.4亿美元的资金，并持续向BTC链进行转移。本月诈骗跑路事件依旧高发，有项目方卷款超过千万美元。本月钱包安全事件和私钥泄露事件增多，Beosin安全团队建议项目方和用户都应注重钱包的安全性，保护好私钥，规范操作，不要点击来路不明的链接。本月80%的攻击事件源于合约漏洞利用，建议项目上线前寻求专业的公司进行安全审计。

金色财经消息，据安全团队成都链安监控数据显示，2022年7月，各类安全事件数量较6月有所下降。7月发生较典型安全事件超19起，其中攻击类安全事件损失总金额约2604.5万美元，较6月下降约89.5%，为2022年以来黑客攻击损失金额最低的一个月份。 7月，虽然攻击类事件和损失金额大幅降低，但本月诈骗跑路/加密骗局方面安全事件较6月大幅增加，且部分涉案金额超过了千万元，用户需多加注意，提高反诈意识。本月因合约漏洞利用造成的攻击事件占到了40%，项目上线前做好专业的安全审计工作依旧重要。此外，本月还有40%的攻击事件源自私钥泄露和钓鱼攻击。建议用户及项目方一定要保管好自己的私钥，时刻提高警惕，不要轻易点击来路不明的链接，谨防遭受钓鱼攻击。

金色财经报道，2023年4月3日，据Beosin-Eagle Eye态势感知平台消息，MEV机器人遭受恶意三明治攻击，损失金额约2500万美元，Beosin安全团队第一时间对事件进行了简析，结果如下： 1. 其中一次攻击为例，攻击者首先将目标瞄准到流动性很低的池子，并试探MEV机器人是否会抢跑交易。例如下图中，我们可以看到攻击者通过0.04 WETH试探MEV机器人，勾引MEV机器人进行抢跑套利。发现池子确实有MEV机器人进行监控，并且MEV机器人会使用其所有的资金进行套利。另一方面，MEV机器人使用攻击者节点出块，此前攻击者也一直在尝试MEV是否使用他的验证进行出块，所以这里也提前验证了MEV机器人是否会执行，并且作为验证者可以查看bundle。 2. 攻击者试探成功之后使用预先在Uniswap V3中兑换出来的大量代币在低流动性的V2池内进行兑换操作，勾引MEV使用全部的WETH进行抢跑购买不值钱的代币。然而被抢跑的交易其实才是瞄准了MEV的攻击交易，使用了大量的代币换出MEV刚刚进行抢跑的所有WETH。 3. 这时由于MEV进行抢跑的WETH已经被攻击交易兑换出来，所以MEV机器人想要重新换回WETH的操作会执行失败。 4. 攻击能够成功的主要条件可能一是因为MEV每次在低流动性池中套利仍然会使用自身所有的资金，二是因为在uniswap V3中可以用少量资金获得同样的代币，而其价值在V2池中已经被操纵失衡。三是因为攻击者可能具有验证节点权限，可以修改bundle。 此前消息，Beosin KYT反洗钱分析平台发现目前资金位于地址0x3c98d617db017f51c6a73a13e80e1fe14cd1d8eb($19,923,735.49), 0x5B04db6Dd290F680Ae15D1107FCC06A4763905b6($2,334,519.51)， 0x27bf8f099Ad1eBb2307DF1A7973026565f9C8f69($2,971,393.59)。

2月17日，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、 预警与阻断平台监测显示，Avalanche链上的Platypus项目合约遭受闪电贷攻击，Beosin安全团队分析发现攻击者首先通过闪电贷借出4400万USDC之后调用Platypus Finance合约的deposit函数质押，该函数会为攻击者铸造等量的LP-USDC，随后攻击者再把所有LP-USDC质押进MasterPlatypusV4合约的4号池子当中，然后调用positionView函数利用_borrowLimitUSP函数计算出可借贷余额，_borrowLimitUSP函数会返回攻击者在MasterPlatypusV4中质押物品的价值的百分比作为可借贷上限，利用该返回值通过borrow函数铸造了大量USP（获利点），由于攻击者自身存在利用LP-USDC借贷的大量债务（USP），那么在正常逻辑下是不应该能提取出质押品的，但是MasterPlatypusV4合约的emergencyWithdraw函数检查机制存在问题，仅检测了用户的借贷额是否超过该用户的borrowLimitUSP（借贷上限）而没有检查用户是否归还债务的情况下，使攻击者成功提取出了质押品（4400万LP-USDC）。归还4400万USDC闪电贷后， 攻击者还剩余41,794,533USP，随后攻击者将获利的USP兑换为价值8,522,926美元的各类稳定币。。