零时科技区块链安全周报 | 黑客攻击手法逐渐高级化

事件分析

据 零时科技 区块链安全威胁情报平台数据统计，上周区块链生态中公开的安全事件共9起，其中关注较高的为新加坡加密货币交易所KuCoin被攻击，所有热钱包被清空，目前估计损失最小为1.5亿美元，存款和取款业务已经暂停；DeFi Saver 用户的 31 万枚 DAI 被耗尽，DeFi Saver 承认与 6 月份报告的交易所漏洞有关，并表示资金是安全的；7 笔共约 2420 枚 Bitfinex （价值近 2600 万美元）于 2016 年被盗的比特币被转入未知钱包地址，近期黑客钱包地址频繁进行转账。

交易所安全事件

新加坡加密货币交易所KuCoin被攻击 所有热钱包被清空

10月9日，新加坡加密货币交易所KuCoin今天披露了一次大规模黑客攻击。该公司在其网站上发布的一份声明中证实，一名黑客侵入了其系统，并清空了其热钱包中的所有资金。KuCoin加密货币交易使用热钱包作为他们的临时存储系统，来存储目前在平台上交换的资产，它们被用来推动转换操作和资金转移。KuCoin表示，9月26日，他们发现黑客从热钱包中“大量取款”。黑客成功盗取了比特币资产、erc -20代币以及其他类型的代币。根据用户追踪被盗资金的Etherium地址，目前估计损失最小为1.5亿美元。据了解，KuCoin承诺补偿那些在黑客攻击中使用其冷钱包而失去资金的用户。在该公司的安全团队调查这一事件期间，存款和取款业务已经暂停。

DeFi Saver 用户的 31 万枚 DAI 被耗尽，DeFi Saver 承认与 6 月份报告的交易所漏洞有关，并表示资金是安全的

去中心化钱包 imToken 发推表示，用户报告称 31 万枚 DAI 已被耗尽，这与 DeFi Saver Exchange 漏洞有关。imToken 建议抵押债仓（CDP）自动化管理系统 DeFi Saver 立即销毁合约以挽回用户资金。imToken 表示，其安全团队正在调查该事件，并尝试排查所有受影响的用户钱包并发布警告。DeFi Saver 对此回应称，这部分资金是安全的，正在联系受影响用户。DeFi Saver 承认这与 6 月份报告的交易所漏洞有关。链闻此前报道，6 月份，DeFi Saver 表示该团队发现 DeFi Saver 应用系列中自有交易平台的一个漏洞，并尝试使用一次「白帽攻击」将受影响的 3 万美元资金转移至只有原始攻击者才能进入的智能合约中，同时该平台表示为了防止类似事件发生，已经将该自有交易平台从 DeFi Saver 应用中删除。更新：DeFi Saver 表示，已退还受影响用户资金。

数字货币诈骗

伪造Curve网站进行钓鱼，某用户被窃20枚比特币

据报道，近日有用户访问Curve交易所网站时遭受钓鱼攻击，损失20枚比特币。据悉，诈骗团伙利用谷歌广告系统购买谷歌搜索广告，伪装成Curve交易所进行诈骗广告投放。由于google新广告计划，广告通常会显示在搜索第一名，因此造成不少用户上当受骗。降维安全实验室建议用户保持警惕，认真甄别消息来源，仔细辩别域名，避免造成资产损失。Curve官方网站：curve.fi；Curve钓鱼网站：curve.frl。

伪造DeFi项目UniCats涉嫌骗取用户至少20万美元加密资产

据Decrypt消息，加密钱包ZenGo研究人员Alex Manuskin透露，一个所谓基于以太坊网络的“yield farming平台”UniCats涉嫌从几个用户那里窃取了包括去中心化金融平台Uniswap的治理代币UNI在内的至少20万美元加密资产。智能合约中的一个后门允许UniCats保留对其用户代币的控制权，即使这些代币已经从用户池中撤出。而此前针对Bancor的攻击也使用了类似的漏洞。

其他攻击事件

Bitfinex 2016 年黑客再次转移约 2420 枚比特币

10 月 7 日 22:55 起，7 笔共约 2420 枚 Bitfinex （价值近 2600 万美元）于 2016 年被盗的比特币被转入未知钱包地址。链闻注，2016 年夏天，Bitfinex 遭遇黑客攻击，导致近 12 万个比特币被盗。近期，Bitfinex 2016 年黑客钱包地址频繁进行转账。今年 8 月初，Bitfinex 悬赏至多 4 亿美元追回 2016 年被盗比特币。

跑路TRX流动性挖矿项目Gold Miner（黄金矿工）已追查到重要实名证据

基于TRX波场生态系统下的DEFI项目Gold Miner（黄金矿工）于10月7日20:30私自转移用户资产至币安卷款跑路，大量Gold Miner（黄金矿工）受害者表示已报警。同时，BitKeep钱包表示，目前已锁定项目方联系方式（微信号、QQ号、手机号）、实名资金来往（用户与项目方支付宝转账记录、）、公司信息（公司名称、公司地址、法人信息、公司网络备案、）资金流向、交易所账户、提币变现记录、个人照片、个人信息等信息。

上周区块链安全事件总结

• 伪造Curve网站进行钓鱼，某用户被窃20枚比特币

• 伪造DeFi项目UniCats涉嫌骗取用户至少20万美元加密资产

• 杭州以比特币交易为幌子诈骗数千万元的团伙被判刑

• 江苏南通公安局侦破一起比特币勒索病毒敲诈案

• Robinhood 部分用户反映称账户资金被盗

• 新加坡加密货币交易所KuCoin被攻击 所有热钱包被清空

• DeFi Saver 用户的 31 万枚 DAI 被耗尽，DeFi Saver 承认与 6 月份报告的交易所漏洞有关，并表示资金是安全的

• Bitfinex 2016 年黑客再次转移约 2420 枚比特币

• 跑路TRX流动性挖矿项目Gold Miner（黄金矿工）已追查到重要实名证据

安全建议

• 钱包和交易所要对系统安全体系应足够重视，定期对系统进行整体的安全评估测试

• 钱包和交易所要建立完善的风控应急预案，比如控制转账频率，大额转账等

• 投资者投资时应选择知名的可信度高的交易所

• 不要随意安装未知来源的软件，选择正规渠道进行下载安装

• 电脑服务器应避免打开不必要的端口，相应漏洞应及时打补丁，主机建议安装有效可靠的杀毒或其他安全软件

• 在WEB浏览器上安装挖矿脚本隔离插件，例如MinerBlock，NoCoin等

• 不要随意点击陌生人发给你的不明链接