PeckShield: Tổng cộng có 15 sự cố bảo mật xảy ra trong tháng 4, với thiệt hại lên tới hàng trăm triệu USD.

Tiêu đề gốc: "PeckShield: Tổng cộng có 15 sự cố bảo mật xảy ra trong tháng 4, DeFi security Đang gióng lên hồi chuông cảnh báo cho ngành》

Nguồn gốc: PeckShield

Bảo mật DeFi

Tổng cộng có 5 sự cố bảo mật DeFi xảy ra trong tháng 4, cụ thể như sau:

1) Vào ngày 18 tháng 4, tin tặc khai thác nền tảng DeFi Lỗ hổng tương thích giữa Uniswap và chuẩn ERC777 đã thực hiện một cuộc tấn công reentrancy trên Uniswap. Cụ thể, khi hacker giao dịch ETH-imBTC, hắn đã sử dụng chức năng gọi lại tokenToSend để chuyển khoản theo tiêu chuẩn ERC777 nhằm thực hiện một cuộc tấn công tái nhập, tạo ra tổng lợi nhuận là 340.000 USD.

2) Chỉ 24 giờ sau, vào ngày 19 tháng 4, một nền tảng DeFi nổi tiếng khác là Lendf.Me cũng bị tin tặc tấn công bằng phương thức tương tự. Như được hiển thị trong hình, khi hàm chuyển thực transferFrom() được gọi trong hàm cung cấp hợp đồng(), hợp đồng của kẻ tấn công bị móc nối sẽ nhúng một hoạt động rút tiền nhằm đánh cắp số tiền rút ra của Lendf.Me.

3) Vào ngày 20 tháng 4, nền tảng giao dịch stablecoin DeFi Curve đã thông báo rằng hợp đồng quỹ quỹ sUSD có lỗ hổng cho vay, đồng thời cho biết tất cả các lỗ hổng đã được giải quyết, tiền vẫn an toàn và không có tổn thất nào xảy ra.

4) Vào ngày 23 tháng 4, nền tảng DeFi PegNet bị nghi ngờ đã hứng chịu một cuộc tấn công 51% bởi các thợ mỏ hàng đầu. Bốn thợ mỏ đã kiểm soát 70% tốc độ băm của mạng, do đó đã thực hiện cuộc tấn công.

5) Vào ngày 27 tháng 4, một lỗ hổng đã xảy ra trong dự án DeFi Hegic code, khiến tài sản của người dùng bị người dùng khóa vĩnh viễn. Vài giờ sau khi dự án đi vào hoạt động, một lỗi trong mã của nó đã khóa số tiền trị giá 28.000 USD của người dùng trong hợp đồng thông minh của nền tảng. quỹ riêng của họ.

PeckShield Bình luận: Khi chức năng của các dự án DeFi ngày càng đa dạng, các vấn đề bảo mật tiềm ẩn dần lộ diện. Do mối liên hệ chặt chẽ của nó với tài sản của người dùng nên vấn đề bảo mật của các dự án DeFi là rất nghiêm trọng. Đặc biệt, danh mục đầu tư kinh doanh DeFi có thể tiềm ẩn rủi ro hệ thống, nền tảng không chỉ phải đảm bảo có cuộc kiểm tra mã mạnh mẽ và điều tra lỗ hổng trước khi sản phẩm ra mắt mà còn phải xem xét các rủi ro hệ thống tiềm ẩn do logic kinh doanh khác nhau của chúng khi kinh doanh. danh mục đầu tư cho các sản phẩm khác nhau. PeckShield khuyến nghị rằng trước khi các dự án DeFi trực tuyến, họ nên cố gắng hết sức để tìm một nhóm có nghiên cứu chuyên sâu về thiết kế sản phẩm trong tất cả các khía cạnh của DeFi để tiến hành kiểm tra bảo mật toàn diện nhằm tránh những rủi ro bảo mật tiềm ẩn.

Bảo mật nền tảng giao dịch

Tổng cộng có 2 sự cố bảo mật nền tảng giao dịch đã xảy ra trong tháng 4:

1) Vào ngày 9 tháng 4, nền tảng giao dịch tiền điện tử Bisq đã bị đánh cắp. Những kẻ tấn công đã khai thác một lỗ hổng trong giao thức giao dịch Bisq để đánh cắp tiền giao dịch cho một giao dịch. Bảy nạn nhân đã mất tổng cộng 3 BTC và 4.000 XMR.

2) Vào ngày 29 tháng 4, sàn giao dịch Binance bị tấn công DDoS, trang hợp đồng bị lag trên diện rộng, gây ra tình trạng lag mạng trong thời gian ngắn và gián đoạn truy cập.

PeckShield Bình luận: Để đối phó với vô số sự cố bảo mật trên nền tảng giao dịch, nền tảng giao dịch nên sử dụng hệ thống phòng ngừa an toàn hơn. Tương tự như các cuộc tấn công DDoS, nền tảng giao dịch có thể được cấu hình với nhiều máy dự phòng để tránh rủi ro mang đến cho hệ thống. hệ thống do lỗi một điểm. .

Bảo mật DApp

Đã xảy ra tổng cộng 1 sự cố vào tháng 4, các sự kiện bảo mật DApp tồn tại trong mạng EOS. Cụ thể, vào ngày 30 tháng 4, nền tảng kiểm soát rủi ro bảo mật PeckShield DAppShield đã phát hiện tin tặc tiến hành các cuộc tấn công EOS giả mạo liên tục vào trò chơi cá cược EOS Felix, kiếm được hàng chục nghìn EOS tiền lãi và phần lớn số tiền đã được chuyển sang các tài khoản khác.

PeckShield Nhận xét: Khi hoàn tất quá trình phát triển hợp đồng thông minh, bên dự án phải tiến hành kiểm tra bảo mật trước khi hợp đồng trực tuyến. Nếu cần thiết, bên dự án có thể tìm kiếm một công ty bảo mật bên thứ ba để hoàn thành đánh giá kiểm toán nhằm trợ giúp nó hoàn thành thử nghiệm tấn công và tấn công trước khi hợp đồng trực tuyến.

Các vụ lừa đảo và bỏ trốn

Ngoài những vụ việc trên, còn có nhiều vụ lừa đảo và bỏ trốn xảy ra ở Tháng 4. Hãy cảnh giác, ví dụ:

1) Vụ lừa đảo sinh thái EOS đã sụp đổ, EOS trị giá hàng trăm triệu nhân dân tệ đã được chuyển đi và có hơn 380.000 nạn nhân.

2) Tổng số tiền lừa đảo "kinh doanh chênh lệch giá" của Telegram lên tới 35.000 ETH, hầu hết trong số đó đã được rút ra tiền mặt trên nhiều nền tảng giao dịch khác nhau.

3) Hãy cảnh giác với trò lừa đảo airdrop-box airdrop HT của trang web lừa đảo. Trang web này xúi giục người dùng nhấp vào liên kết lừa đảo và một khi người dùng nhập khóa riêng, tài sản sẽ bị đánh cắp.

PeckShield Nhận xét: Nhiều rủi ro bảo mật khác nhau đã xuất hiện do người dùng thiếu nhận thức về bảo mật và thiếu tiêu chuẩn hóa hoạt động. Các cuộc tấn công lừa đảo, gian lận và các sự cố khác là những ví dụ điển hình. Chúng tôi xin nhắc nhở người dùng nên lưu giữ cẩn thận mọi loại thông tin cá nhân, bất kỳ sơ suất nhỏ nào cũng có thể gây ra những tổn thất không thể khắc phục.

Liên kết gốc: https://mp.weixin.qq.com

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia