PeckShield: Tổng cộng 20 sự cố bảo mật đã xảy ra trong tháng 6 và vấn đề bảo mật DeFi một lần nữa trở nên nổi bật

Đọc bài viết này mất 24 phút

Khi chức năng của các dự án DeFi ngày càng đa dạng, các vấn đề bảo mật tiềm ẩn dần lộ diện, do có mối liên hệ chặt chẽ với tài sản của người dùng nên vấn đề bảo mật của các dự án DeFi là rất nghiêm trọng.

Tiêu đề gốc: "PeckShield: Tổng cộng có 20 sự cố bảo mật xảy ra trong tháng 6, vấn đề bảo mật DeFi lại nổi lên"

Nguồn gốc: PeckShield

Bảo mật DeFi

Tổng cộng có 4 sự cố bảo mật DeFi đã xảy ra trong tháng 6, như sau:

1) Balancer nền tảng DeFi nổi tiếng nhóm thanh khoản đã bị tấn công và các khoản vay nhanh bị tấn công, mất 500.000 USD. Sau khi nhân viên bảo mật của PeckShield can thiệp vào quá trình phân tích, họ nhanh chóng xác định rằng bản chất của vấn đề là các token giảm phát trên Balancer và hợp đồng thông minh của họ không tương thích trong một số trường hợp nhất định, cho phép kẻ tấn công tạo ra một nhóm lưu thông STA/STONK sai lệch giá và lấy được lợi nhuận từ nó. (Để biết chi tiết, hãy xem PeckShield: Phân tích kỹ thuật của toàn bộ quá trình Balancer nền tảng DeFi bị tấn công)

Kẻ tấn công đã thực hiện cuộc tấn công theo bốn bước, cụ thể Từ:

1) Kẻ tấn công đã vay 104.331 WETH từ nền tảng dYdX thông qua các khoản vay flash;

2) Kẻ tấn công liên tục thực hiện lệnh gọi swapexactMountin() cho đến khi hầu hết mã thông báo STA do Balancer sở hữu bị tiêu thụ hết, rồi bắt đầu cuộc tấn công tiếp theo. Cuối cùng, Balancer chỉ còn lại 0,000000000000000001 STA.

3) Kẻ tấn công lợi dụng sự không tương thích giữa mã thông báo STA và hợp đồng thông minh Balancer, tức là sự không khớp giữa kế toán và số dư, để thực hiện các cuộc tấn công, làm cạn kiệt các tài sản khác trong nhóm quỹ và cuối cùng là tổng giá trị lợi nhuận là 523.616,52 USD tài sản kỹ thuật số.

4) Kẻ tấn công đã hoàn trả khoản vay nhanh đã vay từ dYdX và lấy đi tài sản kỹ thuật số thu được từ cuộc tấn công.

(Minh họa hacker Toàn bộ quá trình tấn công)

2) Kỹ sư DeBank frenzy_hao cho biết trên Twitter hôm nay rằng tin tặc một lần nữa sử dụng flash loan của dYdX để tấn công phần cân bằng Đối với cặp giao dịch COMP trong nhóm thanh khoản, phần thưởng COMP không có người nhận trong nhóm đã bị lấy đi, dẫn đến tổng lợi nhuận là 10,8 ETH.

3) Giao thức phi tập trung Bancor đã chính thức tiết lộ chi tiết về lỗ hổng bảo mật. Chức năng safeTransferFrom, lẽ ra phải được đặt ở chế độ riêng tư, được định nghĩa là một chức năng công khai. , vì vậy bất kỳ ai cũng có thể chuyển mã thông báo. May mắn thay, không có mất mát lớn về bảo mật nào xảy ra và sau khi phát hiện ra lỗ hổng, nhóm đã tiến hành một cuộc tấn công mũ trắng để chuyển tiền đến một địa chỉ an toàn.

4) Vào ngày 21 tháng 6, nhà nghiên cứu bảo mật samczsun đã tiết lộ riêng hai lỗ hổng trong hợp đồng và đại lý cho vay hiện được AtomicLoans triển khai. Cả hai lỗ hổng đều có thể cho phép người vay mở khóa một số hoặc toàn bộ tài sản thế chấp BTC của họ mà không phải trả khoản vay trong một số trường hợp nhất định.

PeckShield Bình luận: Khi các dự án DeFi ngày càng đa dạng hơn, các vấn đề bảo mật tiềm ẩn dần lộ diện. Do chúng có mối liên hệ chặt chẽ với tài sản của người dùng nên vấn đề bảo mật của các dự án DeFi là rất nghiêm trọng. Do mỗi dự án được phát triển bởi các nhóm khác nhau với hiểu biết hạn chế về thiết kế và triển khai các sản phẩm tương ứng của họ nên các sản phẩm tích hợp có thể gặp vấn đề về bảo mật trong quá trình tương tác với nền tảng của bên thứ ba và do đó dễ bị tấn công từ cả hai phía. PeckShield khuyến nghị rằng trước khi các dự án DeFi trực tuyến, họ nên cố gắng hết sức để tìm một nhóm có nghiên cứu chuyên sâu về thiết kế sản phẩm trong tất cả các khía cạnh của DeFi để tiến hành kiểm tra bảo mật toàn diện nhằm tránh những rủi ro bảo mật tiềm ẩn.

Bảo mật ví kỹ thuật số

Tổng cộng có 1 sự cố bảo mật ví đã xảy ra trong tháng 6:

1) Các nhà nghiên cứu từ công ty bảo mật mạng OpenZeppelin đã ban hành một cảnh báo bài báo nói rằng họ đã tìm thấy Một lỗ hổng rủi ro cao xuất hiện trên ví Ethereum Argent. Lỗ hổng này có thể cho phép kẻ tấn công chiếm lấy ví của người dùng, đặc biệt là những người chưa kích hoạt tính năng "Guard". Trong khi đó, đội ngũ Argent đã nhanh chóng khắc phục lỗ hổng và đã liên hệ với những người dùng bị ảnh hưởng.

PeckShield Nhận xét:Ví kỹ thuật số như một cách để quản lý khóa riêng Công cụ là thứ gần gũi nhất với tài sản tiền điện tử. Mặc dù ví lạnh là ví ngoại tuyến, bị ngắt kết nối mạng nhưng cũng có nguy cơ bị tấn công vật lý và trộm cắp.Đối với các ví nóng như ví web, người dùng cũng phải đề phòng các cuộc tấn công như lừa đảo và tiêm mã độc.

An ninh chuỗi công cộng

Tổng cộng có 1 sự cố bảo mật chuỗi công cộng đã xảy ra trong tháng 6:

1) Chuỗi bên thương mại Blockstream Liquid Network đã bị lộ tới những lỗ hổng trong vấn đề bảo mật. Do thời gian băm không nhất quán, các tài khoản quan trọng trong mạng bị ảnh hưởng bởi các lỗ hổng kỹ thuật, có thể dẫn đến hành vi trộm cắp hàng trăm đô la BTC. Hiện tại, quản trị viên mạng Blockstream đã tạm thời thu giữ 870 Bitcoin được lưu trữ trên mạng Liquid bằng cách khôi phục các hợp đồng đa chữ ký.

Nhận xét của PeckShield: Các lỗ hổng trên chuỗi công khai, một lần Phát hiện này có tác động lớn đến toàn bộ hệ sinh thái chuỗi. Do đó, chuỗi công khai phải tiến hành kiểm tra bảo mật và kiểm tra lỗ hổng trước khi ra mắt phiên bản chính thức và tìm kiếm sự kiểm tra từ các công ty bảo mật bên thứ ba để tránh các mối đe dọa về lỗ hổng có thể ảnh hưởng đến chuỗi công khai sinh thái.

Liên quan đến tống tiền

Tổng cộng có 4 sự cố bảo mật liên quan đến ransomware đã xảy ra trong tháng 6:

1) Các nhà nghiên cứu từ công ty bảo mật Unit 42 đã phát hiện ra một Phần mềm độc hại mới "Lucifer" đang lan rộng, đây là một biến thể của phần mềm ransomware tiền điện tử cũ. Biến thể mới có thể được sử dụng để khai thác tiền điện tử độc hại nhưng cũng có thể được sử dụng để thực hiện các cuộc tấn công DDoS.

2) Công ty con của ST Engineering Aerospace tại Hoa Kỳ đã bị tấn công bằng ransomware và 1,5TB dữ liệu nhạy cảm đã bị đánh cắp khỏi công ty và các tổ chức của nó đối tác. Trước đó, vào tháng 2, hacker Maze đã xâm chiếm 5 công ty luật của Mỹ và yêu cầu thanh toán hơn 933.000 USD tiền chuộc BTC. Trước đó, vào tháng 3, tổ chức ransomware tiền điện tử Maze tuyên bố đã sử dụng phần mềm hack để tấn công gã khổng lồ bảo hiểm Chubb.

3) Kent Commercial Services (KCS), một công ty ở Kent, Vương quốc Anh, gần đây đã hứng chịu một cuộc tấn công tống tiền của tin tặc và các hacker yêu cầu 800.000 bảng Anh bằng Bitcoin. Nếu không, dữ liệu của công ty sẽ bị rò rỉ trên web đen. KCS cho biết họ không trả tiền chuộc và không có dữ liệu cá nhân của người nộp thuế nào bị đánh cắp.

4) Để đối phó với hai trường hợp chuyển phí Ethereum với giá cao bất thường, các nhà nghiên cứu từ Công ty Bảo mật PeckShield tin rằng những trường hợp này có thể đến từ Hàn Quốc Nền tảng giao dịch giả mạo GoodCycle bị hacker và ransomware tấn công. Tin tặc đã có được một số quyền của nền tảng giao dịch thông qua các cuộc tấn công lừa đảo và các phương pháp khác, vì vậy chúng đã sử dụng Gasprice để tống tiền nền tảng đó. (Để biết chi tiết, vui lòng tham khảo câu chuyện đằng sau các giao dịch chuyển phí xử lý cao ngất trời của Ethereum: Một cuộc tấn công tống tiền GasPrice do tin tặc khởi xướng? Sự thật đằng sau các giao dịch chuyển phí xử lý cao ngất trời của Ethereum: Dự án quỹ GoodCycle đã dàn dựng một vụ ngộ sát và che giấu!)

PeckShield Nhận xét: Các sự cố bảo mật ransomware luôn là một ẩn số lớn mối nguy hiểm ảnh hưởng đến toàn bộ hệ sinh thái Internet và không giới hạn ở hệ sinh thái Blockchain. Hơn nữa, khi tiền điện tử trong lĩnh vực blockchain dần trở nên phổ biến hơn, bọn tội phạm thường lợi dụng tính ẩn danh tốt hơn của các loại tiền điện tử như Bitcoin để thực hiện tống tiền và lừa đảo.

Vụ lừa đảo và trốn thoát

Ngoài tình trạng trên, trong tháng 6 còn có nhiều vụ lừa đảo, bỏ trốn đáng được cảnh giác như:

1) Theo dữ liệu từ CoinHolmes, một nền tảng theo dõi trực quan hóa tài sản kỹ thuật số thuộc sở hữu của PeckShield, kể từ chiều ngày 22 tháng 6, quỹ PlusToken đã thay đổi. 26.316.339 EOS, 2.503 BTC; 789.533 ETH đã được chuyển.

2) Cảnh sát Seoul ở Hàn Quốc hôm nay đã mở một cuộc điều tra, nhắm vào hai nền tảng giao dịch tiền kỹ thuật số không xác định có liên quan đến tội phạm ETH. Một kế hoạch Ponzi đa cấp lừa đảo nạn nhân bằng tiền kỹ thuật số của họ. 433 nhà đầu tư đã khiếu nại với cảnh sát và 1.000 nhà đầu tư chưa liên hệ với cảnh sát. Số ETH liên quan trị giá 41,5 triệu USD.

3) Nền tảng giao dịch bitisis của Iran, được truyền thông Trung Quốc đưa tin rộng rãi, đã biến mất. Nhiều nguồn chỉ ra rằng Người kiểm soát thực sự đằng sau nó là Trung Quốc. Những kẻ lừa đảo sử dụng nhiều nền tảng giao dịch ở nước ngoài tuyên bố có thể sử dụng chênh lệch giá để hấp thụ tiền của các nhà đầu tư bán lẻ và sau đó bỏ trốn với số tiền đó. Hiện nay, cảnh sát nhiều nơi đã mở vụ án. Nền tảng giao dịch đã chuyển tài sản của người dùng đến ba địa chỉ và một trong những nền tảng đã khẩn cấp đóng băng các địa chỉ liên quan.

4) Bibox chính thức thông báo có tội phạm sao chép Bibox APP, giả danh là dịch vụ khách hàng của Bibox và lôi kéo người dùng giao dịch. được yêu cầu phải cảnh giác.

5) Huobi Global Station nhận được báo cáo rằng một trang web lừa đảo lừa đảo giả danh Huobi để đưa ra thông báo và truyền bá "ERD Airdrop Hoạt động" trong cộng đồng. Huobi Global Station long trọng tuyên bố rằng Huobi chưa công bố bất kỳ thông tin nào về "hoạt động airdrop ERD". Các nhà giao dịch nên cảnh giác và hiểu rõ địa chỉ trang web chính thức của Huobi.

6) Sàn giao dịch Matcha đưa ra thông báo cho biết gần đây, bọn tội phạm đã mạo danh nhân viên dịch vụ khách hàng của nhiều sàn giao dịch và tạo ra các trang web lừa đảo để thực hiện các giao dịch của Người dùng hoặc yêu cầu chuyển tài sản kỹ thuật số đến các trang web lừa đảo. MXC Matcha không có tài khoản WeChat chính thức và mọi tài khoản "MXC Matcha" trên WeChat đều không phải là tài khoản chính thức. Nếu bạn gặp phải hành vi như liên hệ với người dùng dưới tên MXC Matcha và yêu cầu "chuyển tài sản kỹ thuật số" sang các nền tảng khác, bạn có thể xác minh danh tính của họ thông qua kênh dịch vụ khách hàng trên trang web chính thức của MXC Matcha.

7) Gần đây, cảnh sát ở Yên Đài, tỉnh Sơn Đông đã đóng cửa Internet ở Thâm Quyến, Huệ Châu và Hợp Phì cùng một lúc, và tiêu diệt thành công một "tiền ảo" Một băng nhóm tội phạm sử dụng nền tảng đầu tư giả mạo để thực hiện hành vi lừa đảo dưới chiêu bài "đầu tư", với tổng số tiền hơn 14 triệu nhân dân tệ.

8) Cục Công an huyện Juye, thành phố Heze, tỉnh Sơn Đông gần đây đã phát hiện một vụ lừa đảo mạng viễn thông lớn và loại bỏ một số nghi phạm. Các vụ lừa đảo qua Internet. Một băng nhóm phạm tội lừa đảo mạng viễn thông dưới danh nghĩa cho vay và đầu tư vào "Bitcoin" đã bắt giữ 83 nghi phạm, thu giữ và phong tỏa hơn 27 triệu nhân dân tệ số tiền liên quan. Hiện tại, 30 nghi phạm chính đã được chuyển giao cho cơ quan điều tra văn phòng công tố do cảnh sát Juye thực hiện theo đúng quy định của pháp luật.

9) Gần đây, một thương gia OTC ở Nam Ninh bị nghi ngờ hỗ trợ tội phạm lừa đảo viễn thông rửa tiền và đã bị cảnh sát điều tra và bắt giữ Bên giải thích USDT, mã hóa Tiền tệ và gian lận viễn thông ngày càng được tích hợp ở Trung Quốc, điều này có thể mang lại nhiều rủi ro về việc đóng băng thẻ cho người dùng thông thường và các nhà kinh doanh OTC cũng cần tăng cường nỗ lực sàng lọc.

10) Theo các báo cáo trước đây, bọn tội phạm đang sử dụng tên của người sáng lập Tesla, Elon Musk và công ty SpaceX của ông để tiến hành các cuộc tấn công Bitcoin trên YouTube . Lừa đảo tiền xu. Theo thống kê, tổng cộng 214 BTC đã được gửi đến các địa chỉ lừa đảo như vậy, trị giá hơn 2 triệu USD.

11) Twitter chính thức của DeFi Money Market Protocol DMM tuyên bố rằng nhóm Telegram của họ đã bị tấn công ác ý trong đợt bán công khai và kẻ tấn công giả vờ là người khác DMM Foundation với mục đích đánh cắp tiền. Những người bị lừa đảo trong việc bán mã thông báo đã được bồi thường bằng số tiền DMG tương ứng và chúng tôi muốn đảm bảo rằng tất cả những người bị mất tiền đều được bồi thường tương ứng.

PeckShield Nhận xét:Do người dùng thiếu bảo mật nhận thức và hoạt động kém Các rủi ro bảo mật khác nhau do tiêu chuẩn hóa gây ra lần lượt xuất hiện và nhiều sự cố khác nhau như tấn công lừa đảo và gian lận là những ví dụ điển hình. Chúng tôi xin nhắc nhở người dùng nên lưu giữ cẩn thận mọi loại thông tin cá nhân, bất kỳ sơ suất nhỏ nào cũng có thể gây ra những tổn thất không thể khắc phục được.