1 月 Web3 安全事件盤點：總損失約 1.6 億美元

撰文：慢霧安全團隊

概覽

據 慢霧區塊鏈被黑檔案庫統計，2024 年 1 月，共發生安全事件 56 起，總損失約 1.6 億美元，原因涉及合約漏洞、DDoS 攻擊、閃電貸攻擊、價格操縱和賬號被盜等。

主要事件

Radiant Capital

2024 年 1 月 3 日，多鏈借貸協議 Radiant Capital 遭攻擊，損失 1900 枚 ETH（約合 450 萬美元）。據分析，黑客是利用借貸市場（從 Compound / Aave 衍生而來）中一個新市場被激活的時間窗口。該漏洞還依賴於當前 Compound / Aave 代碼庫中已知的 rounding 問題。

1 月 4 日，Radiant Capital 表示，此次攻擊導致該協議在 WETH 市場產生約佔協議 TVL 1.3% 的壞賬。1 月 5 日，Radiant Capital 發起 RFP-27 提案，旨在通過 Radiant DAO 的戰略和時間表就 Arbitrum 借貸市場的資本重組和 WETH 市場超額債務償還達成共識。

(https://twitter.com/RDNTCapital/status/1742638364933714112)

Gamma

2024 年 1 月 4 日，流動性管理協議 Gamma 遭攻擊，損失約 618 萬美元。Gamma 表示，Gamma 的金庫有 4 個主要的存款保護來源以防止閃電貸，其中一點為「設置價格變動閾值，當價格變動超過一定金額時將不允許存款」。主要問題是該價格變化閾值的設置太高，導致某些 LST 和穩定幣金庫的價格變化範圍為 -50% / +100%，這使得攻擊者能夠操縱價格直至價格變化閾值，並鑄造大量的 LP 代幣。

(https://medium.com/gamma-strategies/post-mortem-remediation-plan-9a62f10d90f3)

Narwhal

2024 年 1 月 5 日，流動性挖礦項目 Narwhal 的協議遭攻擊，損失約 150 萬美元，所有 NRW 代幣已被兌換為 USDT，並通過 Stargate 橋接至 ETH。大部分被盜資金已被轉移至 Tornado Cash。

 

(https://twitter.com/Narwhal_fyi/status/1744042646954488145)

Coinspaid

2024 年 1 月 6 日，加密支付服務提供商 Coinspaid 發生多筆未經授權的交易，黑客盜取價值約 750 萬美元的加密資產，包括 480 萬枚 USDT、500 枚 ETH、9700 萬枚 CPD、10.6 萬枚 USDC、2.4 萬枚 BSC-USD 和 268.5 枚 BNB。

Socket

2024 年 1 月 16 日，互操作性協議 Socket 發推稱，協議遭遇了一次安全事件。攻擊者利用 Socket 聚合器系統下新添加的一個模塊的漏洞，該模塊負責代表用戶進行代幣交換。該模塊中的漏洞允許攻擊者從那些已經無限批准代幣給 Socket Gateway 合約的用戶那裡竊取資金。這次攻擊是通過在以太坊上進行的兩筆惡意交易實施的。總被盜金額約為 330 萬美元。1 月 23 日，在慢霧安全團隊與其他夥伴的協助下，Socket 成功追回 1032 ETH，價值約 220 萬美元，同時，Socket 團隊對慢霧安全團隊表達了致謝。

(https://twitter.com/SocketDotTech/status/1749734794320363802)

Manta Pacific

2024 年 1 月 18 日，據 Manta Network 推文稱，Manta Pacific 鏈在大約 UTC 9 AM 遭遇 RPC 攻擊。Manta Network 聯創 Kenny Li @superanonymousk 在推特上更新了關於 Manta Network 遭受攻擊的情況，他提到，Manta Network 在 UTC 9:30 AM，即他們的 TGE 活動開始時，遭受了一次精心策劃的 DDoS 攻擊。RPC 節點遭遇了超過 1.35 億次請求，表明這是一次非常激烈和有計劃的攻擊。

(https://twitter.com/superanonymousk/status/1747968680686993800)

HTX

2024 年 1 月 19 日，HTX 在社交媒體發文提醒用戶其應用程序當前遭遇中斷，技術團隊正在努力解決問題。Tron 創始人孫宇晨發推表示，Htx.com 和 HTX_DAO 遭受了 DDoS 攻擊。

(https://twitter.com/justinsuntron/status/1748319971837710471)

Concentric Finance

2024 年 1 月 22 日，基於 Camelot V3 協議構建的 DeFi 協議 Concentric Finance 遭攻擊，損失約 170 萬美元。Concentric Finance 官方在社交媒體上發文表示，持有其合約部署者錢包的一名團隊成員遭到有針對性的社會工程攻擊，攻擊者利用漏洞升級金庫，鑄造新的 LP 代幣，然後耗盡平臺資產。

(https://mirror.xyz/concentrictreasury.eth/duXXwBErblGw4CjbsA2JPoRAJqVNsDtiUsK4R6_vhD0)

GMEE

2024 年 1 月 23 日，鏈遊平臺 GMEE 發推表示，Polygon 上 GMEE 代幣合約在幾個小時前遭到未經授權的 GitLab 訪問，導致 6 億枚 GMEE 代幣被盜，損失約 700 萬美元。隨後攻擊者將代幣兌換為以太坊和 MATIC。在接下來的幾個小時內，攻擊者通過各種 DEX 兌換盜走的代幣，影響了各個交易所的 GMEE 代幣價格。

(https://twitter.com/GAMEEToken/status/1749652962849464727)

Nebula Revelation

2024 年 1 月 25 日，太空主題開放世界 Web3 遊戲 Nebula Revelation 的質押合約遭重入攻擊。1 月 28 日，Nebula Revelation 公佈賠償方案，團隊承諾全面賠償且決定按照被盜幣前的價格向用戶賠付，以確保公正性。

(https://twitter.com/NBLGAME/status/1751580737768456594）

Somesing

2024 年 1 月 27 日，韓國 Web3 社交音樂服務 Somesing 發佈公告稱，該平臺上週六遭受了一次漏洞攻擊，損失 7.3 億枚原生代幣 SSX，約合 1158 萬美元。Somesing 表示：「已經確認，此次黑客事件與 Somesing 團隊的任何成員都沒有關係，考慮到攻擊方法，可能是由專門攻擊虛擬資產的黑客實施的。」該平臺已向國家警察廳報告對黑客事件進行調查，並表示將通知國際刑警組織。

Goledo Finance

2024 年 1 月 28 日，Conflux 生態借貸協議 Goledo Finance 遭攻擊，損失 790 萬枚 CFX，約合 170 萬美元。Goledo 團隊已完成對借貸池中大筆借貸的初步調查，確認該攻擊與閃電貸有關。

(https://twitter.com/GoledoFinance/status/1751442740200517984)

Abracadabra Money

2024 年 1 月 31 日，DeFi 協議 Abracadabra Money (MIM_Spell) 遭攻擊，損失約 650 萬美元。隨後 Abracadabra.Money (MIM_Spell) 在推特更新進展，表示其技術團隊已找到漏洞原因，該漏洞針對特定 Cauldrons V3 和 V4，允許未經授權的 MIM 借用，目前已將這些 cauldrons 的借貸限額設置為零來緩解問題。團隊表示 DAO 金庫將為受影響的 650 萬美元提供全額抵押，以確保安全運營。

(https://twitter.com/MIM_Spell/status/1752723973891059807)

Ripple

2024 年 1 月 31 日，據鏈上偵探 ZachXBT 披露，Ripple 遭黑客攻擊，被竊取 2.13 億枚 XRP，約合 1.125 億美元。Ripple 聯合創始人 Chris Larsen 發推稱：「昨天，我的一些個人 XRP 賬戶（不是 @Ripple ）– 我們很快就發現了問題並通知交易所凍結受影響的地址。執法部門已經介入。」

(https://twitter.com/chrislarsensf/status/1752702297971532258?s=20)

總結

本月發生了 5 起 DDoS 攻擊事件，項目方可部署網絡監測工具，定期分析流量，及時識別異常流量和潛在攻擊。本月 Rug Pull 事件達 17 起，約佔本月安全事件數的 30%，導致損失約 526 萬美元，用戶在參與項目之前應充分了解項目的背景、團隊，謹慎選擇投資項目；本月 3 起閃電貸攻擊事件導致了約 635 萬美元的損失，慢霧安全團隊建議項目方始終保持警惕並定期進行安全審計，跟蹤和解決新的安全威脅和漏洞，最大程度地保護項目和資產安全。