Điểm lại các sự cố bảo mật nửa đầu năm 2021: hack, lừa đảo và ngừng hoạt động

Tiêu đề gốc: " Đánh giá năm 2021 (nửa đầu): Các vụ hack tiền điện tử, lừa đảo và đóng cửa 》

Tác giả gốc: Harry Denley

Bản tổng hợp gốc: Ajian, người đam mê Ethereum

Thế giới tiền điện tử nguy hiểm chưa từng có và rất khó để nhắm mắt làm ngơ. Trước khi liệt kê chi tiết những sự cố bảo mật này, trước tiên chúng ta hãy xem chúng tôi đã đóng góp những gì cho vấn đề bảo mật của ngành?

Trong nửa đầu năm 2021, chúng tôi:

● Đã phát hành phiên bản mới của MyCrypto, giúp cải thiện trải nghiệm người dùng và cho phép người dùng sử dụng và giám sát tiền điện tử của riêng họ một cách dễ dàng và trực tiếp hơn

● Tiết lộ các dự án độc hại lạm dụng phương thức ủy quyền ERC20 để đánh cắp tài sản của người dùng (phương thức ủy quyền là một phần công dụng của người dùng nhưng rất dễ bị tin tưởng một cách mù quáng)

● Mở rộng phạm vi kinh doanh của chúng tôi và giúp những người dùng gặp phải robot nhặt rác lấy lại tài sản cầm cố của họ (bản dịch tiếng Trung)

● Xuất bản hướng dẫn giúp người dùng cải thiện trải nghiệm bảo mật MyCrypto của họ

● Khi thị trường NFT bùng nổ, chúng tôi cũng tung ra các tài liệu giáo dục chống lừa đảo cho người mua NFT

● Tiếp tục các hoạt động chống gian lận và chống lừa đảo của chúng tôi với CryptoScamDB 

Còn một chặng đường dài phía trước để nâng cao nhận thức của toàn ngành và ngăn chặn gian lận và các cuộc tấn công , nhưng chúng tôi vẫn kiên trì.

Trước tiên, chúng ta hãy xem xét sâu hơn về tình hình chung của ngành để xem liệu chúng ta có rút ra được bài học từ năm 2020 hay không và liệu chúng ta có cải thiện được hay không.

Sau đây là danh sách các sự cố bảo mật lớn trong quý 1 và quý 2 năm 2021. Chúng tôi sẽ không liệt kê tất cả các vụ bỏ trốn và các sự cố tương tự, vì có quá nhiều người không thể đếm được...

Quý đầu tiên của năm 2021 đã chứng kiến một số sự kiện thú vị, từ việc toàn bộ giao thức bị đóng cửa đột ngột đến việc hack các hợp đồng DeFi cho đến việc bắt giữ tin tặc. Chúng tôi cũng đã chứng kiến các cuộc tấn công hoàn toàn mang tính chất cá nhân, điều này đã khiến toàn bộ ngành lo ngại vì những kẻ xấu này có thể làm bất cứ điều gì để kiếm được một khoản tiền. Có ít vụ hack sàn giao dịch tiền điện tử hơn trong quý đầu tiên so với năm ngoái. Điều này vừa là do sự chú ý của tin tặc đang đổ dồn vào nơi khác, vừa là do các sàn giao dịch đã rút ra bài học từ những thất bại năm ngoái và đã điều chỉnh các biện pháp kiểm soát bảo mật của họ.

Câu chuyện: 11 triệu USD bị đánh cắp từ Yearn

Tóm tắt:Một trong những giao thức khai thác thanh khoản tự động lớn nhất/lâu đời nhất, Yearn, đã bị vi phạm tại một trong các kho tiền v1 của nó, với tổng số tiền bị đánh cắp là 11 triệu đô la Mỹ và những người dùng của kho tiền đã phát sinh khoản lỗ trực tiếp là 2,8 triệu USD. Nhóm Yearn đã giảm thiểu thành công vi phạm trong 10 phút 14 giây, bao gồm cả việc Tether đóng băng 1,7 triệu USDT để ngăn kẻ tấn công chuyển tài sản.

Câu chuyện: DMM DAO ngừng hoạt động do cuộc điều tra của SEC

Tóm tắt:DMM DAO là một DAO sử dụng cơ chế truyền thông tin Chainlink để di chuyển tài sản trong thế giới thực vào chuỗi. Do Chứng khoán Hoa Kỳ Ủy ban điều tiết điều tra họ và ngừng hoạt động.

Câu chuyện: Blockfolio bị chiếm đoạt và xuất ra nội dung phản cảm

Tóm tắt:Vào tháng 2 năm nay, một kẻ độc hại đã giành được quyền truy cập vào hệ thống đẩy nội dung được Blockfolio sử dụng và sau đó nhắm mục tiêu vào tất cả người dùng Blockfolio bị tấn công nội dung. Ngay sau đó, SBF đã xác nhận và giải thích vụ việc, sau đó họ đổ lỗi cho đối thủ cạnh tranh, cho rằng “nội dung độc hại đã được các sàn giao dịch ngang hàng của chúng tôi dựng lên và xuất bản”.

Câu chuyện: T-Mobile mất số bit trị giá 450.000 USD do SIM tấn công khách hàng bị truy tố vì sử dụng tiền điện tử

Tóm tắt:Việc trộm thẻ SIM quá phổ biến trong thế giới tiền điện tử! (Chúng tôi thậm chí đã viết một bài báo lớn về nó!) Nạn nhân này đã kiện nhà cung cấp dịch vụ liên lạc của mình sau khi mất 15 Bitcoin do thẻ SIM bị đánh cắp. (Lưu ý: “Bị đánh cắp” có nghĩa là sau khi kẻ tấn công biết được thông tin cá nhân của nạn nhân mục tiêu thông qua nhiều phương thức tấn công khác nhau, hắn sẽ gọi điện để bắt kẻ trộm và thông báo với nhà cung cấp dịch vụ rằng thẻ SIM của hắn đã bị đánh cắp hoặc bị thất lạc, từ đó giành được quyền kiểm soát thẻ SIM của mục tiêu. .)

Câu chuyện: Giao thức DeFi phiên bản Cream Finance Alpha bị tấn công flash loan và mất 37,5 triệu USD

Tóm tắt:Một cuộc tấn công cho vay chớp nhoáng thông minh đã cho phép nhà điều hành rút cạn các hợp đồng kho bạc của AlphaFinance. FrankResearcher đã tiết lộ toàn bộ sự việc dưới dạng một dòng tweet dài. Ngay sau đó, AlphaFinance ám chỉ rằng họ biết những kẻ tấn công là ai.

Câu chuyện: Một lỗ hổng cục bộ trong phiên bản MetaMask đã dẫn đến vụ trộm 8 triệu USD

Tóm tắt:Sự cố này đã cảnh báo toàn bộ cộng đồng về sự nguy hiểm của việc tin tưởng một cách mù quáng vào một giao diện người dùng và họ cũng đã học được bài học chấp nhận những gì bạn từng cho là đáng tin cậy Những gì bạn tin tưởng một ngày nào đó có thể trở nên không an toàn. Báo cáo sau hành động này cho thấy kẻ tấn công sẽ khó khăn đến mức nào để lấy được tiền của bạn bằng cách chiếm quyền điều khiển máy tính của bạn. Sau khi kiểm tra hành vi độc hại, chúng tôi tin rằng hành vi đó đã được "suy nghĩ kỹ lưỡng".

Câu chuyện: Roll (mã thông báo xã hội) bị đánh cắp với giá 3000 ETH/5,7 triệu USD

Tóm tắt: Roll, một nền tảng phát hành token xã hội, đã gặp sự cố và khóa riêng của ví nóng bị chiếm đoạt và kẻ tấn công đã bán tất cả các mã thông báo xã hội để lấy ETH (điều này cũng làm giảm giá thị trường của các mã thông báo xã hội này) và di chuyển ETH sang một địa chỉ khác thông qua TornadoCash.

Câu chuyện: Hacker Twitter nhận tội, lãnh ba năm tù

Tóm tắt: Đã xảy ra một vụ hack tài khoản quy mô lớn trên Twitter vào năm ngoái. Nhiều tài khoản có giá trị cao đã được đăng bởi các công cụ nội bộ của Twitter. , thúc đẩy lừa đảo. Trong vòng một năm, hacker - mới 18 tuổi - đã bị bắt và bị kết án.

Câu chuyện: Filecoin đã được chi nhiều lần trên Binance - liên quan đến 4,6 triệu đô la

Tóm tắt: Theo tiết lộ của nhà phát triển, sàn giao dịch Binance sẽ xử lý khoản tiền gửi hợp pháp hai lần và gấp đôi số tiền sẽ được ghi có ngoài chuỗi. Lỗi này xảy ra do lỗi trong mã Filecoin RPC.

Câu chuyện: GitHub Actions đã bị lạm dụng tích cực để khai thác trên máy chủ GitHub

Tóm tắt:GitHub cho phép máy chủ chạy mã, để giúp kiểm tra. Một số người có động cơ thầm kín sử dụng máy chủ (miễn phí) này để khai thác - họ hoàn toàn không phải trả chi phí điện và chi phí bảo trì và họ hoàn toàn kiếm được phần thưởng khối.

Câu chuyện: xFORCE Bị vi phạm bởi Mũ Trắng (và những người khác)

Tóm tắt:hợp đồng xFORCE không tuân thủ nghiêm ngặt tiêu chuẩn ERC20, điều này để lại lỗ hổng trong cơ chế gửi tiền của họ, khác với việc đúc mã thông báo xFORCE được gắn kết. Miễn là bạn sở hữu mã thông báo xFORCE (không thực sự gửi chúng), bạn có thể rút mã thông báo FORCE (tương đương với việc nhận chúng miễn phí).

Câu chuyện: Trình xác thực bị loại khỏi mạng Stellar

Tóm tắt:Do lỗi phần mềm, một nhóm trình xác thực trên mạng Stellar đột nhiên ngoại tuyến khiến quá trình xử lý giao dịch bị gián đoạn. Sau hơn 10 giờ, nguyên nhân cốt lõi của sự cố đã được tìm ra và khắc phục, đồng thời người xác thực đã trực tuyến trở lại.

Câu chuyện: Vụ kiện tập thể chống lại Legder và Shopify về vi phạm dữ liệu người dùng vào năm 2020 nhịp>

Tóm tắt: Năm 2020, cơ sở dữ liệu chứa khoảng 300.000 hồ sơ khách hàng Sổ cái (với địa chỉ email chi tiết của khách hàng, địa chỉ giao hàng và tên đầy đủ) xuất hiện trên một diễn đàn được gọi là RaidForums và có sẵn dưới dạng tải xuống miễn phí. Vào ngày 6 tháng 4 năm 2021, một nhóm cá nhân đã khởi kiện tập thể.

Câu chuyện: Thêm nhiều địa chỉ bị đưa vào danh sách đen để chuyển USDC

Tóm tắt:Mặc dù điều này hiếm khi xảy ra, nhưng Circle (cơ quan có thẩm quyền đằng sau USDC) đã ban hành hơn 7 danh sách đen. Do đó, USDC trong các địa chỉ này có thể bị tịch thu và Vòng kết nối có thể ngăn người dùng sử dụng những đồng tiền này (xem chức năng "transfer()" của hợp đồng). Điều này là do FSA đã thêm các địa chỉ này vào danh sách SDN của OFEC.

Câu chuyện: Lừa đảo 2 tỷ USD, sàn giao dịch Thodex của Thổ Nhĩ Kỳ đóng cửa, Bị người dùng phản đối

Tóm tắt:Một sàn giao dịch ở Thổ Nhĩ Kỳ đột nhiên ngừng dịch vụ. Người ta suy đoán rằng Giám đốc điều hành của nó đã trốn sang Thái Lan cùng với các khóa riêng của sàn giao dịch (nơi kiểm soát số tiền điện tử trị giá 2 tỷ USD từ người dùng sàn giao dịch). Sau đó, một tuyên bố đã thay thế trang chủ của Thodx, nêu chi tiết rằng họ đang đàm phán với các đối tác kinh doanh và một cuộc tấn công đã sửa đổi một số dữ liệu phụ trợ thuần hóa. Họ cũng cho rằng con số 2 tỷ USD của giới truyền thông là sai và số tiền thực tế thấp hơn nhiều.

Câu chuyện: Quá trình di chuyển UraniumFinance bị phá sản, có khả năng thiệt hại 5 triệu USD

Tóm tắt: Đã xảy ra lỗi toán học khi UraniumFinance thay đổi mức phí giao dịch, dẫn đến tính toán không mong muốn. Lỗi ảnh hưởng đến mức phí giao dịch thực tế . Một nhân vật trong hợp đồng đã khiến việc kiểm tra số dư của hợp đồng thông minh bị khai thác và nguồn dự trữ của UraniumFinance bị cạn kiệt.

Câu chuyện: Bộ Tư pháp Hoa Kỳ thừa nhận đã bắt giữ Roman Sterlingov (người điều hành BitcoinFog)

Tóm tắt:BitcoinFog là một công cụ trộn phổ biến làm tăng thêm sự mơ hồ cho các giao dịch Bitcoin. BitcoinFog được cho là đã kiếm được khoảng 1,2 triệu btc trong 10 năm qua.

Câu chuyện: Nhóm thanh khoản của xTokenMarket đã bị cạn kiệt, dẫn đến khoản lỗ 25 triệu USD

Tóm tắt: Một cuộc tấn công cho vay chớp nhoáng thông minh khác. Kẻ tấn công đã làm cạn kiệt nhóm thanh khoản của xTokenMarket bằng cách thao túng Giá SNX và BNT trên nhiều nền tảng DEX. Kẻ tấn công đã sử dụng phần mềm MEV có tên "Flashbots" để thực hiện cuộc tấn công.

Câu chuyện: DeFi 100 bỏ túi 32 triệu USD

Tóm tắt: Một giao thức DeFi đã sử dụng thông tin công khai để chế nhạo người dùng và nói rằng họ sẽ bỏ chạy: "Chúng tôi đã nói dối bạn! Và bạn sẽ làm như vậy không làm gì cả Không thể nào!" Ngày hôm sau, họ đưa ra một tuyên bố nói rằng họ không bỏ trốn và đã khôi phục trang web về trạng thái trước đó.

Câu chuyện: Chiến dịch lừa đảo vật lý nhắm vào Ledger

Tóm tắt: Sau vụ vi phạm dữ liệu vào năm 2020 và vụ kiện tập thể chống lại Ledger vào đầu năm 2021, người dùng bắt đầu báo cáo ngày càng nhiều thực thể lừa đảo cố gắng đánh cắp hoạt động khóa của người dùng. Ai đó đã gửi một thiết bị đã sửa đổi đến địa chỉ giao hàng của họ.

Câu chuyện: IronFinance gặp khó khăn, giá token giảm từ 60 USD trong 24 giờ Giảm xuống còn số không

Tóm tắt: Theo một tuyên bố chính thức, đợt tăng giá bắt đầu khi một số nhà giao dịch lớn rút thanh khoản khỏi nhóm IRON/USDC và bán $TITAN - > $IRON -> $USDC, mà không đổi IRON, khiến giá của IRON không được cố định.

Câu chuyện: Cuộc tấn công độc hại đầu tiên được biết đến vào THORChain

Tóm tắt:Một cuộc tấn công đã khiến THORChain thiệt hại 140.000 USD do lỗi trong logic được sử dụng để xử lý các ký hiệu lặp đi lặp lại. Mạng đã bị gián đoạn bởi nút này, nút này đã được vá và hoạt động sau 6 giờ. THORChain nhanh chóng biết về cuộc tấn công và tuyên bố họ sẽ bồi thường đầy đủ những tổn thất.

Quan sát

Nếu so sánh những gì chúng tôi quan sát được vào năm 2020, có vẻ như vẫn còn rất nhiều cơ hội để cải thiện trong toàn ngành, thậm chí có thể là mãi mãi. Chúng ta cần tiếp tục giáo dục mọi người về những rủi ro của DeFi “stud”, khóa quản trị DeFi, lừa đảo và những rủi ro cố hữu khi gửi tài sản của bạn vào các sàn giao dịch tập trung.

So sánh tình hình nửa đầu năm 2020, chúng ta có thể thấy rằng các sàn giao dịch tập trung và tính bảo mật của chúng thực sự đã được cải thiện, ít nhất là về cơ bản. sự cố trên cơ sở vật chất. Đó là một điều tốt, nhưng nó cũng đặt ra câu hỏi: Tất cả những kẻ xấu đã đặt tâm trí của họ vào đâu? Một suy đoán đơn giản và có thể hợp lý là họ đã chuyển sự chú ý sang giao thức DeFi, trà trộn vào cộng đồng và trốn thoát dễ dàng, xét cho cùng thì không có ngưỡng kỹ thuật cao và lợi nhuận rất đáng kể.

Chúng tôi cũng nhận thấy sự quan tâm đến NFT ngày càng tăng, bao gồm cả các công ty có tên tuổi lớn sử dụng NFT (Christies, eBay và Sotheby's). Chúng ta có thể dự đoán rằng sẽ có một số vụ cướp NFT tàn bạo đang xảy ra hoặc chưa được đưa ra ánh sáng.

Hy vọng thời gian còn lại của năm 2021 sẽ bình lặng!   

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia