Web3 安全事件每月盤點。
作者：慢霧安全團隊，慢霧科技
概覽
根據慢霧區塊鏈被黑檔案庫 (https://hacked.slowmist.io) 統計，2024 年 7 月，共發生安全事件 37 起，總損失約 2.79 億美元，其中有 876 萬美元得到返還。本月安全事件的原因涉及合約漏洞、帳號被駭、跑路和網域劫持等。
主要事件
Bittensor
2024 年 7 月 2 日，去中心化 AI 專案 Bittensor 遭攻擊，一些 Bittensor 錢包用戶被盜，攻擊者盜走約 3.2 萬個 TAO，按市值計算約 800 萬美元。鏈上偵探 ZachXBT 認為這次攻擊可能是由於私鑰洩露導致的，但 Bittensor 後來稱受影響的用戶實際上是因為一個惡意的 Bittensor 軟體包被上傳到 Python 的 PyPi 軟體包管理器而受到攻擊。
Authy
2024 年 7 月 5 日，慢霧首席資安長 23pds 發推文表示，2FA 服務 Authy 遭攻擊，導致 3,300 萬用戶的電話號碼被竊。官方開發者 Twilio 已確認漏洞，有大量 Web3 用戶使用這款 2FA 軟體，請注意資產安全。
Doja Cat
2024 年 7 月 8 日，饒舌歌手 Doja Cat 的 X 帳號被盜，攻擊者使用她的帳號發布推廣 memecoin 的推文。 Doja Cat 隨後在她的 Instagram 上發文表示，她的 X 帳號被盜。
Compound
2024 年 7 月 11 日，Compound DAO 安全顧問 Michael Lewellen 發推文表示，Compound Finance 官網被攻擊，目前正在託管一個釣魚網站。
LI.FI
2024 年 7 月 16 日，根據慢霧安全團隊監測，跨鏈橋聚合協議 LI.FI 發生可疑交易，導致用戶損失超過 1,000 萬美元。 7 月 18 日，LI.FI 發布安全事件報告表示，該漏洞源於驗證交易時出現的問題，該問題跟協議與多個去中心化交易所和其他 DeFi 協議使用的共享 LibSwap 代碼庫的交互方式有關，原因是在監督部署過程中出現個人人為錯誤。估計有 153 個錢包受到影響，損失價值約 1,160 萬美元的 USDC、USDT 和 DAI 穩定幣。
WazirX
2024 年 7 月 18 日，印度加密貨幣交易所 WazirX 在 X 上發佈網路攻擊的初步調查結果，稱其一個多重簽章錢包出現了安全漏洞，導致損失超過 2.3 億美元（約佔客戶資金的 45%）。
Rho Markets
2024 年 7 月 19 日，借貸協議 Rho Markets 由於預言機配置錯誤被某 MEV Bot 套利 2203 ETH，約 760 萬美元。同日，據鏈上偵探 ZachBXT 監測，該 MEV Bot 所有者於鏈上喊話 Rho Markets 團隊，表示該事件是他們的 MEV 機器人透過 Rho Markets 價格預言機的配置錯誤獲利，並願意全數返還。
Casper Network
2024 年 7 月 26 日，Casper Network 遭攻擊，隨後 Casper Network 發推表示，為了盡量減少此安全漏洞的影響，已與驗證者合作暫停網絡，直到此安全漏洞得到修補。根據 7 月 31 日 Casper Network 發布的安全事件初步報告，此事件中有 13 個錢包受到影響，非法交易總額約 670 萬美元。 Casper Network 發現攻擊者利用了一個允許合約安裝者繞過對 uref 的存取權限檢查的漏洞，使他們能夠授予合約對基於 uref 的資源的存取權。
Terra
2024 年 7 月 31 日，Terra 鏈遭攻擊，攻擊者利用與第三方模組 IBC hooks 相關的已知漏洞在 Terra 鏈上鑄造了數種代幣，導致的損失已達 528 萬美元。 Terra 團隊已採取緊急措施防止進一步損失，並協調驗證者應用修補程式以修復漏洞。據 Sommelier Finance 聯合創始人 Zaki Manian 稱，儘管該漏洞在 4 月已在 Cosmos 生態系統中修復，但 Terra 在 6 月的升級中未包含此補丁，導致漏洞再次暴露並被利用。
同日，去中心化交易協議 Astroport 在 X 發布安全事件更新：攻擊者在 Neutron 上的 ASTRO 已被扣押在 Astroport Treasury 中；攻擊者的 Terra 地址已被列入黑名單，無法進行任何交易；IBC Hook 漏洞已修復；官方將繼續與 Terra 團隊密切合作，尋求解決方案。
總結
本月資料安全問題又回到我們的視線，7 月 1 日，根據 Protos 報道，加密友好銀行 Evolve Bank & Trust 近日承認，在一個月前發現有約 33 TB 用戶資料被盜。這類安全事件可能導致身分盜用、帳戶被駭、資金損失等後果，慢霧安全團隊提醒廣大用戶要小心釣魚攻擊，定期更新密碼，並避免在多個平台上使用相同的密碼。
隨著 memecoin 的熱潮，項目方/名人帳號被黑事件頻發，攻擊者利用項目方/名人的影響力，盜取 X 帳號後發布含有釣魚連結的推文或推廣某代幣，請廣大用戶注意識別，謹慎投資，我們在慢霧：X 帳號安全排查加固指南中講解瞭如何提高 X 帳號安全性，點擊連結可跳轉閱讀。
近期發生了多起網域劫持事件，專案方可採取以下措施防範網域名稱劫持，確保網站和使用者的安全：
- 選擇可靠的網域註冊商，降低網域劫持的風險；
- 定期檢查和監控域名的狀態、DNS 設定和其他相關配置；
- 確保相關人員了解網域劫持的風險及防範措施，掌握辨識常見的釣魚手法和社會工程攻擊的能力，防止洩漏敏感資訊；
- 制定緊急應變計劃，以便在網域被劫持時能夠快速反應，控制影響範圍。
最後，本文收錄的事件為本月主要安全事件，更多區塊鏈安全事件可在慢霧區塊鏈被黑檔案庫 (https://hacked.slowmist.io/) 查看，點擊閱讀原文可直接跳轉。
免責聲明：作為區塊鏈資訊平台，本站所發布文章僅代表作者及來賓個人觀點，與 Web3Caff 立場無關。文章內的資訊僅供參考，均不構成任何投資建議及要約，並請您遵守所在國家或地區的相關法律法規。
