我們期望這份報告能為促進區塊鏈生態的安全發展貢獻一份力量。
作者：慢霧 AML 團隊，慢霧安全團隊
由於篇幅限制，本文僅羅列分析報告中的關鍵內容，完整內容可透過文末 PDF 下載。
一、概述
2024 年，區塊鏈產業在安全與創新的交鋒中前進。在這個背景下，本報告回顧了 2024 年區塊鏈產業關鍵監管合規政策及反洗錢動態，總結了 2024 年區塊鏈安全事件並對典型詐欺手法進行了梳理。此外，我們也邀請了 Web3 反詐騙平台 ScamSniffer 撰寫關於釣魚 Wallet Drainers 的內容，同時，我們對北韓駭客的洗錢手法和獲利情況進行了分析和統計。我們期望這份報告為讀者提供有益的信息，幫助從業者和用戶更全面地了解區塊鏈安全現狀及解決方案，為促進區塊鏈生態的安全發展貢獻一份力量。
二、區塊鏈安全態勢
根據慢霧區塊鏈被黑事件檔案庫 (SlowMist Hacked) 統計，2024 年共發生安全事件 410 起，損失高達 20.13 億美元。對比 2023 年（共 464 件，損失約 24.86 億美元），損失年減 19.02%。
註：本報告數據基於事件發生時的代幣價格，由於幣價波動和部分未公開事件的損失未納入統計等因素，實際損失應高於統計結果。
區塊鏈安全事件總覽
從專案賽道來看，DeFi 仍然是最常受到攻擊的領域。 2024 年 DeFi 安全事件共 339 件，佔總安全事件數的 82.68%，損失高達 10.29 億美元，對比 2023 年（共 282 件，損失約 7.73 億美元），損失較去年同期上升 33.12%。
從生態來看，Ethereum 損失最高，達 4.65 億美元。其次是 BSC，達 8,735 萬美元。
從事件原因來看，合約漏洞導致的安全事件最多，達 99 件，導致損失約 2.14 億美元。其次為帳號被駭導致的安全事件。
典型攻擊事件
此節選取了 2024 年損失 Top10 的安全攻擊事件。詳情請見文末的 PDF 文件內容。
後拉力
Rug Pull 是一種騙局，其本質是惡意項目方造勢吸引用戶投資，等到時機成熟便 “拉毯子”，捲款跑路。根據慢霧區塊鏈被黑事件檔案庫 (SlowMist Hacked) 統計，2024 年 Rug Pull 事件高達 58 起，導致損失約 1.06 億美元。其中，zkSync 生態損失最高，達 3,695 萬美元，BSC 生態發生了最多的跑路事件，達 28 起。
隨著 Meme 幣熱潮的到來，許多用戶在投機和 FOMO 情緒驅使下，忽略了潛在風險。有些發幣方甚至不需要向用戶描繪願景或提供白皮書，僅憑一個概念或口號，便能炒作出熱度吸引用戶購買代幣。低廉的作惡成本導致跑路事件層出不窮。用戶資金被惡意專案方 Rug 後，往往面臨漫長且困難的追回過程。對此，慢霧安全團隊建議使用者在參與專案之前，充分了解專案的背景和團隊訊息，謹慎選擇投資項目，以避免潛在風險。
釣魚
註：本小節著重分析 EVM 相容鏈上的 Wallet Drainer 攻擊，由 ScamSniffer 傾情撰寫，在此表示感謝。
Wallet Drainer 是一种部署在钓鱼网站上，通过诱导用户签署恶意交易来盗取加密资产的攻击方式。2024 年，此类攻击造成约 4.94 亿美元损失，同比增长 67%。虽然受害者数量仅增长 3.7%（达到 33.2 万地址），但单次攻击损失显著增加，最大单笔被盗金额达 5,548 万美元。
1. 重要節點
- Pink 退出（5 月底）：市佔 28%，份額被 Inferno 吸收。
- Angel 接手 Inferno（10 月底）：Angel 市佔率下降，Inferno 維持 40-45% 市佔。
2. 市場格局演變
- Q1-Q2：三大主導（Angel：42%，Pink：28%，Inferno：22%）
- Q3：雙頭競爭（Inferno：43%，Angel：25%）
- Q4：新格局（Inferno 及 Angel：45%，Acedrainer：20%，其他全新 Drainer：25%）
截至 2024 年，基於釣魚簽名的已知損失達 7.9 億美元。儘管下半年此類攻擊有所減少，但這可能預示著攻擊者正在轉向其他攻擊方式，例如惡意軟體等更具隱蔽性的手段。隨著 Web3 生態的發展，保護使用者資產安全的挑戰依然存在。無論攻擊方式如何變化，持續的安全意識和防護能力建構始終是保護資產安全的關鍵。
詐欺
此節選取我們於 2024 年揭露的部分詐欺手法：
1. 挖礦詐騙
2. 套利詐騙
3. 空投詐騙
4. 盜 X 行騙
5. 貔貅盤
6. 惡意木馬
三、反洗錢態勢
本節分為反洗錢及監管動態、反洗錢資料、北韓駭客、混幣工具四部分。
反洗錢及監管動態
2024 年，加密货币的监管环境发生了重大发展，其中最突出的是欧盟实施了 MiCA 法规，美国推进了稳定币立法。执法方面，今年世界各地出台了更为严格的措施来打击非法活动，稳定币监管、跨境加密政策和针对加密领域主要参与者的执法行动取得了显著进展，具体政策及执法行动见文末的 PDF。
反洗錢數據
1. 資金凍結數據
- 在 InMist 情報網合作夥伴的大力支持下，2024 年度慢霧 (SlowMist) 協助客戶、合作夥伴及公開被黑事件凍結資金共計超過 1.12 億美元。
- 2024 年 Tether 凍結了約 5.4 億美元的 USDT；2024 年 Circle 凍結了約 1,336 萬美元的 USDC。
2. 資金歸還數據
2024 年發生了 410 起安全事件，在遭受攻擊後能全部或部分收回損失資金的事件共有 24 起，根據已披露的數據，共計約 1.66 億美元被返還，佔總安全損失（約 20.13 億美元）的 8.25%。
北韓駭客
2024 年，北韓駭客組織涉嫌多起網路竊盜案，導致數億美元的加密貨幣被盜。以下是北韓駭客組織犯下的重要事件清單（資料來源 SlowMist Hacked）：
本節著重分析北韓駭客的攻擊手法，並以慢霧 (SlowMist) 跟進的 BingX 事件為例介紹北韓駭客的洗錢方法。
混幣工具
1. 龍捲風現金
2. eXch
3. 軌道炮
Railgun 已實施私人無罪證明 (PPOI)，利用零知識證明確保用戶能夠在不損害隱私的情況下驗證其資金與非法活動無關。這項創新在隱私和合規性之間取得了關鍵的平衡，使惡意行為者更難利用該平台洗錢。
四、總結
2024 年，區塊鏈產業在持續創新與變革的浪潮中面臨新的機會與挑戰；種種安全事件與反洗錢動態為我們提供了深刻的警示，也促使我們更加重視產業規範與技術保障；透過對 2024 年區塊鏈安全事件和洗錢案例的分析，我們希望能喚起各方對產業安全的重視。
未來，隨著監管框架逐步完善以及技術手段的不斷升級，我們有理由相信，區塊鏈產業將朝著更安全、透明和合規的方向邁進。希望這份報告能為讀者提供有價值的信息，幫助讀者更全面地了解區塊鏈產業的安全和反洗錢現狀，也期待我們共同努力，為建立一個更安全、穩定和可信的區塊鏈生態貢獻力。
五、免責聲明
本報告內容基於我們對區塊鏈產業的理解、慢霧區塊鏈被黑檔案庫 SlowMist Hacked 以及反洗錢追蹤系統 MistTrack 的數據支援。但由於區塊鏈的「匿名」特性，我們在此並不能保證所有數據的絕對準確性，也不能對其中的錯誤、疏漏或使用本報告引起的損失承擔責任。同時，本報告不構成任何投資建議或其他分析的根據。本報告若有疏漏和不足之處，歡迎大家批評指正。導讀到此，完整版本的連結如下，也可直接點擊閱讀原文跳轉，歡迎閱讀並分享
中文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(CN).pdf
英文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(EN).pdf
免責聲明：作為區塊鏈資訊平台，本站所發布文章僅代表作者及來賓個人觀點，與 Web3Caff 立場無關。文章內的資訊僅供參考，均不構成任何投資建議及要約，並請您遵守所在國家或地區的相關法律法規。
