3 月 Web3 安全事件盤點：總損失約 1.39 億美元

撰文：慢霧安全團隊

概覽

據慢霧區塊鏈被黑檔案庫統計，2024 年 3 月，共發生安全事件 33 起，總損失約 1.39 億美元，原因涉及合約漏洞、內部作惡、閃電貸攻擊、私鑰洩露和賬號被盜等。

主要事件

WOOFi

2024 年 3 月 5 日，DEX WOOFi 在 Arbitrum 上控制 WOOFi 交易定價的 sPMM 算法遭利用。這次利用是由一系列閃電貸組成的，攻擊者利用低流動性操縱 WOO 的價格，然後以更低的價格償還閃電貸。攻擊者在極短的時間內重複攻擊 3 次，償還閃電貸後獲利約 875 萬美元。

(https://twitter.com/_WOOFi/status/1765150687166415129)

Unizen

2024 年 3 月 9 日，DeFi 交易平臺 Unizen 在一次攻擊中損失了約 210 萬美元的 USDT，攻擊利用了項目智能合約的外部調用漏洞。3 月 12 日，Unizen 的 CTO Martin Granström 發推表示已從四名黑客那裡追回了價值 18.5 萬美元的被盜資金。

(https://twitter.com/SlowMist_Team/status/1766311510362734824)

 

(https://twitter.com/MartinGranstrom/status/1767279080380973084)

Mozaic

2024 年 3 月 15 日，DeFi 項目 Mozaic 遭攻擊，攻擊者從該項目中竊取了約 200 萬美元。據 Mozaic 稱，這次盜竊是由一名開發人員實施的，該開發人員成功獲取了核心團隊成員持有的私鑰。Mozaic 還表示，約 90% 的被盜資金已在 MEXC 上凍結。

(https://twitter.com/Mozaic_Fi/status/1768754080271196178)

Remilia

2024 年 3 月 17 日，Milady 的母公司 Remilia 的熱錢包及其多籤金庫被盜，多個 Remilia 官方錢包的資產被轉移並出售。Milady 創始人 Charlotte Fang 發推表示自己被黑客攻擊。儘管該項目的財務部門採用了多重簽名模式，但私鑰存儲在一個密碼管理器中，Fang 稱該密碼管理器已被攻破。攻擊者竊取了大約 490 個以太幣（約 180 萬美元）、5.8 萬美元的 USDC、130 多個 Milady NFTs、320 個 Remilio NFTs 和數百個在 NFTX 平臺上發行的衍生代幣。根據最低價格，這些資產的價值超 600 萬美元。

(https://twitter.com/CharlotteFang77/status/1769128702561198519)

Dolomite

2024 年 3 月 20 日，Arbitrum 生態中的去中心化交易協議 Dolomite 在以太坊主網上的舊合約因存在漏洞被攻擊，大約 187 名受害者遭受了資產損失，具體損失為 1,245,271 USDC、94,423 DAI 和 165.9 WETH（總計約 180 萬美元）。截至 3 月 24 日，在慢霧安全團隊與其他夥伴的協助下，Dolomite 已恢復了 90% 的被盜資金。同時，Dolomite 團隊對慢霧安全團隊表達了致謝。

(https://twitter.com/Dolomite_io/status/1773845966707454026)

Super Sushi Samurai

2024 年 3 月 22 日，基於 Blast Layer 2 的新型區塊鏈遊戲 Super Sushi Samurai 因代幣合約存在漏洞被攻擊，損失約 460 萬美元。盜竊後不久，攻擊者聯繫了該項目，聲稱自己是白帽。隨後，Super Sushi Samurai 確認資金已經歸還，其中的 5% 作為賞金。

(https://twitter.com/SSS_HQ/status/1771054306520867242)

Curio Ecosystem

2024 年 3 月 24 日，RWA 基礎設施 Curio Ecosystem 遭遇攻擊，損失約 1600 萬美元，涉及其生態系統內基於 MakerDAO 的智能合約。攻擊原因疑為權限訪問邏輯漏洞，攻擊者利用該漏洞，鑄造了額外的 10 億枚 CGT。

(https://twitter.com/curio_invest/status/1771635979192774674)

Munchables

2024 年 3 月 27 日，Blast 生態項目 Munchables 遭攻擊，損失約 6250 萬美元。同日，Blast 創始人 Pacman 發推表示：「Blast 核心貢獻者已通過多重簽名獲得 9700 萬美元的資金。感謝前 Munchables 開發者選擇最終退還所有資金，且不需要任何贖金。」

(https://twitter.com/PacmanBlur/status/1772871466935013701)

Prisma Finance

2024 年 3 月 28 日，去中心化借貸協議 Prisma Finance 遭攻擊，總損失約 3257.7 枚 ETH（約 1160 萬美元）。攻擊原因在於 MigrateTroveZap 合約的 onFlashloan 函數缺乏輸入驗證，使得攻擊者能夠偽造遷移數據，從而實現未經授權的抵押品轉移，導致合法的 Prisma Finance 用戶受損。

(https://twitter.com/PrismaFi/status/1773316945430852058)

同日，被標記為 Prisma Finance 攻擊者之一的 0x2d4 開頭地址向項目方發消息稱「本次行動是一次白帽救援，我可以聯繫誰來退款？」然而雙方隨後的溝通似乎不太順利。

(https://etherscan.io/idm?addresses=0x2d413803a6ec3cb1ed1a93bf90608f63b157507a,0xd8531a94100f15af7521a7b6e724ac4959e0a025&type=1)

Solana

近期，Solana 生態正在應對一系列錢包被盜問題。儘管尚未確定確切的原因，但一些盜竊與類似 Solareum 的交易機器人有關。據安全研究員 Plum 消息，Solareum Telegram 交易機器人漏洞導致了約 100 萬美元的 SOL 損失。

(https://twitter.com/Plumferno/status/1774549022813872164)

總結

本月 33 起安全事件中，有 4 個項目 (Munchables, Super Sushi Samurai, Dolomite 和 Unizen) 共計追回約 6846 萬美元的被盜資金；

本月 3 起內部作惡事件導致的損失達 6540 萬美元，佔本月總被盜金額的 46.9%，慢霧安全團隊建議項目方仔細審查內部安全措施，並加強對敏感信息和資產的訪問控制；

本月 8 起合約漏洞利用事件導致約 3689 萬美元的損失，慢霧安全團隊建議項目方始終保持警惕並定期進行安全審計，跟蹤和解決新的安全威脅和漏洞，最大程度地保護項目和資產安全；

最後，本文收錄的事件為本月主要安全事件，個人用戶被盜事件未納入統計。更多區塊鏈安全事件可在慢霧區塊鏈被黑檔案庫 (https://hacked.slowmist.io/) 查看，點擊閱讀原文可直接跳轉。