資安月報｜11月駭客肆虐，DeFi「程式漏洞流行病」造成損失近5,000萬美元

據 PeckShield 態勢感知平台數據顯示，過去一個月，整個區塊鏈生態共發 35 起較為突出的安全事件，危害程度評級為「高級」。涉及 DeFi 相關 13 起、錢包安全 2 起、勒索相關 5 起，詐騙事件 10 起、其他攻擊 5 起。本文由專欄作者 PeckShield 撰稿，不代表動區立場
（前情提要：Sushi｜「嘴遁」讓 DeFi 駭客停下攻擊？0xMaki : 我已經看到你了，請用Discord聯絡我領獎勵）

本文目錄

駭客肆虐，DeFi 為何淪為少數人的狂歡？

牛市來臨之後，DeFi（去中心化金融）一度被譽為支撐加密貨幣成為今年真正「頭號」投資產品的關鍵。

據 DappTotal 數據顯示，11 月以來，DeFi 的總鎖倉量突破新高，整個 DeFi 生態一副欣欣向榮的景象。

然而，另一邊，DeFi 正陷入弱代碼流行病的困擾，據筆者統計，11 月共發生逾 13 起與 DeFi 相關的安全事件，造成損失近 5,000 萬美元。

11 月 1 日，YFI 披露一個新的閃電貸安全漏洞，團隊在 1.5 個小時後移除該漏洞；
11 月 2 日，主網僅上線幾個小時的 Axion Network 遭到駭客攻擊，駭客利用其質押相關漏洞鑄造 790 億枚代幣 AXN，導致其代幣價格短時下跌 100%，並且損失 50 萬美元；
11 月 6 日，Percent Finance 因出現漏洞而凍結了 100 萬美元的代幣，包括 44.6 萬枚 USDC、28 枚 WBTC 和 313 枚 ETH；
11 月 7 日，筆者監控到駭客利用閃電貸（Flash loan）通過一筆交易攻擊一家去中心化數位銀行 Cheese Bank，憑空套利 330 萬美元；
11 月 10 日，JustSwap 白名單 DeFi 項目 SharkTron 被竊取價值 1,000 萬美元的波場幣（TRX），波場聯合幣安凍結部分資金；
11 月 14 日，筆者監控到駭客利用 Akropolis 項目存在的儲存資產校驗缺陷，向合約發起連續多次的重入攻擊，憑空增發大量的 pooltokens，擄走 203 萬枚 DAI；
11 月 15 日，筆者監控到駭客利用 Value DeFi 協議中基於 AMM 算法的價格預言機（Curve）存在的漏洞，操縱 Curve 上代幣的價格，鑄造 pooltokens，最終獲利 540 萬美元

延伸閱讀：最慘打臉！Value DeFi 宣稱「可防閃電貸」隔天被駭600萬，駭客留言：你們真的懂閃電貸？

11 月 17 日，筆者監控到 DeFi 協議 Origin Protocol 穩定幣 OUSD 遭到攻擊，攻擊者利用dYdX 的閃電貸進行重入攻擊（Re-entrancy attack），造成價值 770 萬美元的 ETH 和 DAI 的損失
11 月 18 日，筆者監控到僅上線 48 小時的 DeFi 固定利率借貸協議 88 mph 存在代碼漏洞，攻擊者利用該漏洞鑄造價值 10 萬美元 MPH 代幣
11 月 22 日，筆者監控到曾被 V 神發推文贊賞的 DeFi 項目 Pickle Finance（酸黃瓜），因被駭客攻擊未經審核新創建的智能合約漏洞，損失近 2,000 萬美元的 DAI；
11 月 26 日，Compound 遭預言機攻擊，9,000 萬美元資產遭清算。

此次 Compound 巨額清算是由於預言機資訊源 Coinbase Pro 的 DAI 價格劇烈波動導致的，操控預言機所依賴的資訊源進行短時間的價格操縱以達成誤導鏈上價格是典型的預言機攻擊；

延伸閱讀：DeFi突發！Compound 疑遭預言機攻擊，釀「1 億美元」史上最大清算規模

11 月 29 日，RGT Distributor 的合約出現漏洞，智能合約 DeFi 智能投顧 Rari Capital 發佈官方推特稱已修復合約漏洞，沒有資金丟失；
11 月 30 日，流動性挖礦項目 SushiSwap 遭到流動性提供者攻擊，該攻擊者通過一筆交易中獲取了 1 至 1.5 萬美元，隨後該修復通過筆者審核。

區塊鏈世界信仰「Code is Law」，認為程式碼即法律，分布式技術可確保數據不可篡改，最大程度地保證系統安全，但現在基於區塊鏈技術開發的 DeFi 為何頻遭安全問題困擾？

PeckShield 分析道：

DeFi 的金融屬性強，與資金綁定緊密，一旦發生安全事件，大概率會直接涉及到切身利益，但此類安全問題並非沒有破解的方法。

DeFi 還處於發展階段，在主網上線前，一定要確保程式碼進行徹底地審計和研究。

例如 Pickle Finance（酸黃瓜）被攻擊的事件，略過了新增程式碼的審計，造成駭客有機可乘。同類 DeFi 被攻擊後，要及時確認自己的合約是否也存在類似的漏洞，或者尋求專業的審計機構，例如筆者對同類攻擊進行監控。

數位錢包安全

據筆者統計，11 月份共發生 2 起典型的錢包安全事件：

11 月 6 日，Ledger 錢包用戶因釣魚詐騙損失逾 110 萬枚 XRP。

詐騙者利用釣魚郵件將用戶引導到一個假冒的 Ledger 網站上，並誘騙用戶下載了冒充為安全更新的惡意軟體，從而導致 Ledger 錢包餘額悉數被盜。

11 月 9 日，ElectrumSV 多簽方案出現嚴重漏洞，致使用戶被盜 600 BSV。

延伸閱讀：瑞波｜冷錢包 Ledger 驚傳大規模釣魚攻擊，駭客已盜走「28 萬美元 — 115萬顆 XRP」

其他攻擊

除此之外，11 月份還發生了多起其他攻擊事件：

11 月 3 日，挖礦木馬團伙 z0Miner 利用 Weblogic 未授權命令執行漏洞（CVE – 2020 – 14882 / 14883）入侵 5,000 台伺服器。

該團伙通過批量掃描雲端伺服器發現具有 Weblogic 漏洞的機器，發送精心構造的數據包進行攻擊。之後執行遠程命令下載 shell 腳本 z0.txt 運行，再利用該 shell 腳本植入門羅幣挖礦木馬、挖礦任務本地持久化，以及通過爆破 SSH 橫向移動；

11 月 8 日，Grin Network 遭到 51％攻擊；
11 月 11 日，惡意節點試圖通過 Sybil 攻擊干擾 Monero 網路，以獲取有關 Monero 區塊鏈上用戶的資訊。據悉，Sybil 攻擊是對 P2P 網路的惡意攻擊，個人或組織試圖通過使用多個身份控制多個帳戶或節點來接管網路；
11 月 19 日，挖礦木馬 4SHMiner 利用漏洞針對雲端伺服器攻擊，已控制約 1.5 萬台伺服器挖礦；
11 月 21 日，BCHA 鏈遭攻擊，網路產生大量空塊。

PeckShield 表示：

近年來，針對加密貨幣的攻擊日益增多，安全事件頻發。

對於企業用戶而言，一方面，針對加密企業伺服器上的文件，應該及時給伺服器打好安全補丁，同時避免使用弱口令，關閉不必要的端口；另一方面，應該加強對釣魚郵件的攔截，提醒員工不要輕易打開來歷不明的郵件，並且保持安全軟體運行狀態。

對於個人用戶而言，需要警惕來歷不明的郵件，保持安全軟體運行狀態，及時修復電腦漏洞，並且養成良好的上網習慣，不使用外掛等病毒高發點的工具。

針對系統性漏洞，需要養成對重要文件備份的習慣，使用隨身碟、硬碟等儲存工具對重要文件進行備份，未雨綢繆，防範於未然。