只有如履薄冰，認真做有利於行業發展的事情才能穩固長久。
作者：慢霧 AML 團隊，慢霧科技
前言
慢霧科技發佈《2023 區塊鏈安全與反洗錢年度報告》，我們期望這份報告為讀者提供有益的信息，説明從業者和使用者更全面地了解區塊鏈安全現狀及解決方案，為促進區塊鏈生態的安全貢獻一份力量。
由於篇幅限制，這裡僅羅列分析報告中的關鍵內容，完整內容可通過文末 PDF 下載。
一、概述
2023 年區塊鏈行業是振奮又動蕩的一年。 在此背景下，本報告將回顧 2023 年區塊鏈行業關鍵監管合規政策及動態，總結 2023 年區塊鏈安全事件及反洗錢態勢，對部分洗錢工具進行統計，並對典型安全事件及典型釣魚騙局手法進行詳細剖析，提出預防方案和措施建議。 此外，我們還邀請了 Web3 反詐騙平臺 Scam Sniffer 撰寫關於釣魚團夥 Wallet Drainers 的內容，同時我們對駭客團夥 Lazarus Group 的洗錢手法和獲利資金進行了分析和統計。
二、區塊鏈安全態勢
根據慢霧區塊鏈被黑事件檔案庫（SlowMist Hacked）統計，2023 年安全事件共 464 件，損失高達 24.86 億美元。 對比 2022 年（共 303 件，損失約 37.77 億美元），損失同比下降 34.2%。
- 區塊鏈安全事件總覽
從項目賽道來看，DeFi 仍然是最常受到攻擊的領域。 2023 年 DeFi 安全事件共 282 件，占事件總數的 60.77%，損失高達 7.73 億美元，對比 2022 年（共 183 件，損失約 20.75 億美元），損失同比下降 62.73%。
從生態來看，Ethereum 損失最高，達 4.87 億美元。 其次是 Polygon，達 1.23 億美元。
從事件原因來看，跑路事件最多，達 117 件，損失約 8300 萬美元。 其次為帳號被黑導致的安全事件。
- 典型攻擊事件
此節選取了 2023 年損失 Top10 的安全事件。 詳情見文末的 PDF 文件內容。
- Rug Pull
根據慢霧區塊鏈被黑事件檔案庫（SlowMist Hacked）統計，2023 年跑路 Rug Pull 事件高達 117 起，導致損失約 8300 萬美元。 其中，Base 生態損失最高，達 3250 萬美元。 其次是 BSC 生態，達 2305 萬美元。
Rug Pull 是一種騙局，通常是專案方主動作惡，以多種方式發生：比如專案方啟動初始流動性，推高價格後撤回流動性; 比如專案方先創建一個加密專案，通過行銷手段吸引加密用戶投資，並在合適的時機毫無徵兆地捲走使用者投資的資金，拋售加密資產，最終銷聲匿跡; 比如推出一個網站，在吸引了數十萬存款后關閉; 比如專案方在專案中留下了後門代碼。 無論如何，任何一種類型的 Rug Pull 都會讓投資者遭受損失。
同時，本節介紹了一個由合約存儲引起的極其隱蔽的 Rug Pull 案例：在專案代幣沒有任何增發記錄的情況下，惡意使用者使用未被記錄的大量增發代幣卷走了池子中的資金。
- 欺詐
近年來，加密貨幣市場逐漸變成騙子們實施欺詐的沃土。 騙子常常通過虛假帳戶冒充名人、交友殺豬盤、宣傳虛假的交易平臺、龐式騙局等進行詐騙，甚至隨著技術的發展，騙子還會用人工智慧軟體來讓騙局更具說服力。 本節將介紹一個主要發生在香港的加密貨幣騙局——JPEX 事件。 據相關說法，JPEX 的暴雷可能成為香港歷史上最大的金融欺詐案。
- 釣魚/騙局手法
此節選取我們於 2023 年披露的部分釣魚/騙局手法：
三、反洗錢態勢
本節分為反洗錢及監管動態、安全事件反洗錢、駭客團夥畫像及動態、洗錢工具四部分。
- 反洗錢及監管動態
在 2023 年，加密貨幣的世界持續經歷動蕩不安。 在上一輪加密牛市期間，SBF 和 CZ 這兩位行業巨頭的每一個舉動似乎都能對市場產生深遠影響。 然而在 11 月份，聯邦陪審團以對 FTX 的倒閉導致的欺詐和共謀的指控，判定 SBF 有罪。 僅僅幾周后，幣安接受了指控，支付了 43 億美元的罰款，CZ 也同意了放棄對幣安的控制權。 隨著加密資產行業在風雨飄搖的「寒冬」與熊市之間跌宕起伏，各國政府和國際組織對此也表現出更為謹慎的態度，各國對於加密貨幣的監管政策還在逐步形成中。 具體政策及執法行動見文末的 PDF。
- 安全事件反洗錢
1、資金凍結數據
在 InMist 情報網路合作夥伴的大力支援下，2023 年度 SlowMist 協助客戶、合作夥伴及公開被黑事件凍結資金共計超過 1250 萬美元。
2、資金歸還數據
2023 年遭受攻擊后仍能全部或部分收回損失資金的事件共有 31 起。 在這 31 起事件中，被盜資金總計約 3.84 億美元，其中的 2.97 億美元被返還，占被盜資金的 77%。 在這 31 起事件中，有 10 個協議的資金被全部退回。
- 駭客團夥畫像及動態
1、駭客團夥 Lazarus Group
根據 2023 年的公開資訊，截止到 6 月份，仍然沒有任何重大加密貨幣盜竊案被歸因為朝鮮駭客 Lazarus Group。 從鏈上活動來看，朝鮮駭客 Lazarus Group 主要在清洗 2022 年盜竊的加密貨幣資金，其中包括 2022 年 6 月 23 日 Harmony 跨鏈橋遭受攻擊損失的約 1 億美元的資金。 朝鮮駭客 Lazarus Group 除了在清洗 2022 年盜竊的加密貨幣資金以外，其他的時間也沒有閑著，這個駭客團夥在黑暗中蟄伏著，暗中地進行 APT 相關的攻擊活動。 這些活動直接導致了從 6 月 3 日開始的加密貨幣行業的「黑暗 101 日」。。
在「黑暗 101 日」期間，共計有 5 個平臺被盜，被盜金額超 3 億美元，其中被盜物件多為中心化服務平臺。
根據我們的分析，朝鮮駭客 Lazarus Group 的洗錢方式也隨著時間在不斷進化，隔一段時間就會有新型的洗錢方式出現，洗錢方式變化的時程表見文末 PDF。
2、釣魚團夥 Wallet Drainers
注：本小節由 Scam Sniffer 傾情撰寫，在此表示感謝。
Wallet Drainer 作為一種加密貨幣相關的惡意軟體，在過去的一年裡取得了顯著的 “ 成功”。 這些軟體被部署在釣魚網站上，騙取使用者簽署惡意交易，進而盜取其加密貨幣錢包中的資產。 這些釣魚活動以多種形式不斷地攻擊普通使用者，導致許多人在無意識地簽署惡意交易後遭受了重大財產損失。 在過去一年，Scam Sniffer 監控到這些 Wallet Drainers 已經從大約 32 萬受害者中盜取了將近 2.95 億美金的資產。
值得一提的是，3 月 11 號這一天有接近 700 萬美金被盜。 大部分是因為 USDC 匯率波動，遭遇了假冒 Circle 的釣魚網站。 也有大量的被盜臨近 3 月 24 號 Arbitrum 的 Discord 被黑以及後續的空投。
每次波峰都伴隨著關聯群體性事件。 可能是空投，也可能是駭客事件。
隨著 ZachXBT 揭露 Monkey Drainer 後，他們在活躍了 6 個月後宣佈退出，然後 Venom 接替了他們的大部分客戶。 隨後 MS， Inferno， Angel， Pink 也都在 3 月份左右出現。 隨著 Venom 在 4 月份左右停止服務，大部分的釣魚團夥轉向了使用其他的服務。 按照 20% 的 Drainer 費用， 他們通過出售服務獲利至少 4700 萬美金。
- 洗錢工具
1、Sinbad 混幣器
2、Tornado Cash
3、eXch
4、Railgun
四、總結
本報告總結了 2023 年區塊鏈行業的關鍵監管合規政策及動態，包括但不限於全球範圍內對於加密貨幣的監管態度以及一系列關鍵的政策變化。 同時，我們還總結了 2023 年的區塊鏈安全事件和反洗錢動態，對部分洗錢工具進行了分析，對那些典型的安全事件和釣魚騙局進行了說明，並提出了相應的防範和應對措施。 希望這份報告能為讀者提供有價值的資訊，幫助讀者更全面地了解區塊鏈行業的安全和反洗錢現狀，使每一位行業參與者都能從中受益，為推動區塊鏈生態安全的發展貢獻出一份力量。
五、免責聲明
本報告內容基於我們對區塊鏈行業的理解、慢霧區塊鏈被黑檔案庫 SlowMist Hacked 以及反洗錢追蹤系統 MistTrack 的數據支援。 但由於區塊鏈的「匿名」特性，我們在此並不能保證所有數據的絕對準確性，也不能對其中的錯誤、疏漏或使用本報告引起的損失承擔責任。 同時，本報告不構成任何投資建議或其他分析的根據。 本報告中若有疏漏和不足之處，歡迎大家批評指正。
導讀到此，完整版本，歡迎閱讀並分享
https://www.slowmist.com/report/2023-Blockchain-Security-and-AML-Annual-Report(CN).pdf
免責聲明：作為區塊鏈資訊平臺，本站所發佈文章僅代表作者及嘉賓個人觀點，與 Web3Caff 立場無關。 文章內的資訊僅供參考，均不構成任何投資建議及要約，並請您遵守所在國家或地區的相關法律法規。
