2024年，區(qū)塊鏈行業(yè)在技術(shù)創(chuàng)新和生態(tài)擴(kuò)展的同時(shí)，也面臨著越來(lái)越嚴(yán)峻的安全挑戰(zhàn)。據(jù)安全審計(jì)公司 Beosin 旗下 Alert 平臺(tái)監(jiān)測(cè)，截止發(fā)稿時(shí)，2024 年 Web3 領(lǐng)域因黑客攻擊、釣魚詐騙和項(xiàng)目方 Rug Pull 造成的總損失達(dá)到了 24.91 億美元。
這些事件不僅暴露出私鑰管理、智能合約漏洞等技術(shù)缺陷，也凸顯了社交工程和內(nèi)部管理的潛在風(fēng)險(xiǎn)。本篇文章將盤點(diǎn)2024年最Web3十大安全事件，幫助業(yè)界從中吸取教訓(xùn)，更好地應(yīng)對(duì)未來(lái)的安全威脅。
損失金額：3.04 億美元
攻擊方式：私鑰泄露
2024年5月31日，日本老牌加密貨幣交易所 DMM Bitcoin 遭遇歷史性攻擊。攻擊者利用泄露的私鑰直接轉(zhuǎn)移了價(jià)值超過(guò)3億美元的比特幣，并迅速將被盜資金分散到超過(guò)10個(gè)不同的地址。這次攻擊暴露了DMM Bitcoin在私鑰管理和多層安全防護(hù)上的嚴(yán)重不足。盡管交易所嘗試通過(guò)鏈上監(jiān)控和凍結(jié)資金的方式追蹤黑客，但盜取的比特幣被分散轉(zhuǎn)移并利用混幣工具進(jìn)行清洗，給追蹤工作帶來(lái)了極大挑戰(zhàn)。
12月24日，日本警方認(rèn)定DMM Bitcoin被盜事件系朝鮮黑客組織Lazarus Group所為。
攻擊方式：私鑰泄露
2024年2月9日，PlayDapp 遭遇重創(chuàng)，黑客通過(guò)竊取私鑰鑄造了20億枚 PLA 代幣，初始價(jià)值3650萬(wàn)美元。由于項(xiàng)目方與黑客的談判未果，黑客在短時(shí)間內(nèi)進(jìn)一步鑄造了159億枚 PLA 代幣，價(jià)值2.539億美元。這些代幣部分流入 Gate 交易所后，PlayDapp 被迫暫停了 PLA 合約并遷移至 PDA 代幣合約。此次事件凸顯了區(qū)塊鏈項(xiàng)目在私鑰保護(hù)和事件應(yīng)急處置方面的缺陷。
損失金額：2.35 億美元
攻擊方式：網(wǎng)絡(luò)攻擊與釣魚
2024年7月18日，印度最大的加密貨幣交易所 WazirX 的 Safe Wallet 多簽錢包遭到黑客精準(zhǔn)攻擊。攻擊者通過(guò)社會(huì)工程學(xué)誘導(dǎo)多簽簽名者簽署了一份合約升級(jí)交易，隨后利用升級(jí)后的合約權(quán)限將錢包中的資產(chǎn)轉(zhuǎn)移一空。這起案件凸顯了多簽錢包在管理權(quán)限配置和操作透明度上的潛在風(fēng)險(xiǎn)，也引發(fā)了業(yè)內(nèi)對(duì)項(xiàng)目?jī)?nèi)部風(fēng)控與安全機(jī)制的深入反思。
No.4 Gala Games
損失金額：2.16 億美元
攻擊方式：訪問控制漏洞
2024年5月20日，Gala Games 某一特權(quán)地址被黑客攻破，攻擊者通過(guò)調(diào)用代幣合約中的 mint 函數(shù)，一次性鑄造了50億枚 GALA 代幣。隨后，黑客通過(guò)分批次將增發(fā)的代幣兌換為 ETH，直接造成了2.16億美元的損失。Gala Games 團(tuán)隊(duì)在事件發(fā)生后緊急啟用黑名單功能封鎖了部分黑客賬戶，并通過(guò)司法途徑追回了損失。
損失金額：1.12 億美元
攻擊方式：私鑰泄露
2024年1月31日，Ripple 聯(lián)合創(chuàng)始人 Chris Larsen 的四個(gè)個(gè)人錢包被黑客攻破，導(dǎo)致1.12億美元的 XRP 被盜。這些錢包疑因缺乏硬件設(shè)備的雙重保護(hù)而成為攻擊目標(biāo)。事件發(fā)生后，幣安成功凍結(jié)了價(jià)值420萬(wàn)美元的 XRP，并協(xié)助 Larsen 追蹤被盜資產(chǎn)，但絕大部分資金已經(jīng)通過(guò)去中心化交易所和混幣服務(wù)被清洗。
損失金額：6250 萬(wàn)美元
攻擊方式：社會(huì)工程學(xué)攻擊
2024年3月26日，基于 Blast 的 Web3 游戲平臺(tái) Munchables 遭遇了一次罕見的內(nèi)部滲透攻擊。攻擊者是偽裝成區(qū)塊鏈開發(fā)人員的朝鮮黑客，通過(guò)長(zhǎng)期潛伏獲取了核心代碼和敏感密鑰。盡管攻擊造成了巨額損失，但由于社區(qū)和團(tuán)隊(duì)的壓力，黑客最終歸還了所有被盜資金。這一事件揭示了供應(yīng)鏈安全的重要性，特別是對(duì)于依賴第三方開發(fā)的區(qū)塊鏈項(xiàng)目。
損失金額：5500 萬(wàn)美元
攻擊方式：私鑰泄露
2024年6月22日，土耳其最大加密貨幣交易所 BtcTurk 遭到私鑰泄露攻擊，損失超過(guò)5500萬(wàn)美元的加密資產(chǎn)。在幣安團(tuán)隊(duì)的協(xié)助下，530萬(wàn)美元被盜資金成功被凍結(jié)，但其它資產(chǎn)仍未追回。這一事件加深了市場(chǎng)對(duì)中心化交易所私鑰管理的擔(dān)憂。
BtcTurk官方發(fā)布被攻擊公告
損失金額：5300 萬(wàn)美元
攻擊方式：私鑰泄露
2024年10月17日，Radiant Capital 的多簽錢包被黑客攻陷。由于其采用了低門檻的 3/11 簽名驗(yàn)證模式，黑客通過(guò)掌握 3 個(gè)簽名者的私鑰發(fā)起鏈下簽名，將錢包合約的所有權(quán)轉(zhuǎn)移至惡意地址，最終導(dǎo)致5300萬(wàn)美元被盜。這次攻擊引發(fā)了對(duì)多簽錢包設(shè)計(jì)和治理機(jī)制的行業(yè)反思。
Radiant Capital在此次攻擊之前，就因合約漏洞而損失450萬(wàn)美元，超1900枚ETH被盜。Web3項(xiàng)目方對(duì)安全的重視程度仍需提高。
損失金額：4470 萬(wàn)美元
攻擊方式：合約漏洞
2024年4月19日，Hedgey Finance 遭遇針對(duì)多個(gè)鏈上合約的攻擊。黑客利用了其 ClaimCampaigns 合約的批準(zhǔn)漏洞，成功提取了 Ethereum 和 Arbitrum 兩條鏈上的代幣，總損失金額達(dá)4470萬(wàn)美元。該事件顯示了代碼審計(jì)的重要性，尤其是對(duì)代幣批準(zhǔn)邏輯的嚴(yán)格驗(yàn)證。
損失金額：4470 萬(wàn)美元
攻擊方式：私鑰泄露
2024年9月19日，BingX 交易所的熱錢包被黑客入侵，涉及的鏈包括 Ethereum、BNB Chain、Tron 等多條公鏈。盡管交易所迅速啟動(dòng)了資產(chǎn)轉(zhuǎn)移和提現(xiàn)凍結(jié)機(jī)制，但黑客已成功提取價(jià)值4470萬(wàn)美元的資產(chǎn)。這次攻擊反映了中心化交易所熱錢包管理的高風(fēng)險(xiǎn)性，并進(jìn)一步推動(dòng)行業(yè)探索更為安全的資產(chǎn)存儲(chǔ)方案。
2024年的安全攻擊事件頻發(fā)，再次提醒我們，區(qū)塊鏈行業(yè)的發(fā)展離不開安全的護(hù)航。從私鑰泄露到合約漏洞，從內(nèi)部管理疏漏到外部攻擊手段的升級(jí)，每一起事件都帶來(lái)了深刻的教訓(xùn)。為了應(yīng)對(duì)日益復(fù)雜的攻擊威脅，行業(yè)各方需要在技術(shù)研發(fā)、管理規(guī)范和風(fēng)險(xiǎn)防控上持續(xù)加強(qiáng)投入。未來(lái)，我們期待通過(guò)行業(yè)協(xié)作和技術(shù)創(chuàng)新，共同建立更加安全的區(qū)塊鏈生態(tài)，為用戶和投資者提供更可靠的保障。
喜來(lái)順財(cái)經(jīng)
