據成都鏈安『區塊鏈安全態勢感知系統』（Beosin-Eagle Eye）資料監測顯示：在過去的3月中，各類安全事件時有發生。成都鏈安安全人員統計3月發生較典型安全事件超『17』起，涉及以太坊Defi安全，交易所安全，詐騙跑路問題以及其他安全事件。從另一個角度來說，則包含了虛擬貨幣資產安全問題和使用者資料安全問題。
Defi方面
共發生『3』起較典型安全事件
近幾月來，隨著Defi金融持續升溫，隨之顯現而出的安全問題也日益突出。距離我們不遠的bZx閃電貸二度開花攻擊事件，已經在提醒我們Defi的逐漸繁榮景象之下，是否隱藏著巨大的安全風險？
01
2 月 28 日，一名使用者在Curve V4流動性不充足的前提下進行了超大額的兌換，雖然團隊發現了該事件，並立即進行了補救，但這名使用者最終還是損失了14 萬美元資產。
▷具體的事件過程為：
使用者A希望將Curve V3資金池中的資金轉移至V4資金池，進行了多次穩定幣兌換。由於VE資金池中穩定幣USDC的資金數量嚴重不足，導致使用者兌換了數量不足的USDC，最終致使46萬美元的資產損失。
由於使用者A的操作使得V4資金池中4種穩定幣數量不平衡，瞬間拉高了V4的手續費收益率；使用者B觀察到升高的手續費收益率之後，嘗試進行套利，用3.3萬美元兌換了9萬BUSD，所有套利操作獲利3527美元。
Curve團隊發現問題之後，立即對Curve V4資金池中的資金進行補足。由於各方進行了金額較大且極度不平衡的交易，所以每個人在操作過程中產生了高達14萬美元的手續費；最終導致使用者A損失14萬美元。
導致這起安全事件的原因是Curve資金池流動性不足，並且由於Curve是基於很多專案搭建起來的，所以風險是自下而上累計的。
02
3月12日幣圈暴跌，ETH一度跌幅達到58%，以ETH作為抵押資產的MakerDao去中心化Defi專案的清算機制幾近崩潰。被清算的ETH資產進行拍賣，價高者得。然而在MakerDao進行的3994場拍賣中，有1462場拍賣以0dai成交，導致MakerDao平臺共計損失62893個ETH，價值780萬美元。
▷事件前因後果為：
MakerDao的最低抵押率為150%，使用者抵押150ETH，可借出100dai。在MakerDAO的原有清算機制設計中，當ETH價格暴跌的時候，使用者抵押的ETH會被清算，以保證MakerDao持續安全運轉；然而當ETH跌至166美元時，MakerDao預言機出現故障，導致系統認為ETH價格仍停留在166美元，致使許多資產未被清算。
MakerDao預言機崩潰的原因則是在於預言機是透過實時抓取ETH的交易所報價。然而由於當晚ETH暴跌，導致以太坊鏈上交易數量急劇增加，讓本來就擁堵的以太坊網路雪上加霜，最終導致預言機崩潰。
所有被清算的ETH進入到拍賣階段，在MakerDao原有的設計機制中沒有考慮到兩個問題：
一是不能根據網路擁堵情況動態而調節曠工費；
二是沒有考慮到參與拍賣的人員數量在極度不足的情況難以設立拍賣底價。
正由於上述兩個原因，導致正常參與拍賣的使用者因擁堵的網路，出價遲遲不能上鍊；別有用心的使用者則提高曠工費，並以0dai的出價參與競拍，最終成功拍下。
03
Defi專案Synthetix公開一個合約漏洞，不過該合約尚未啟用因此未產生損失。
該漏洞存在於Synthetix合約的清算介面。在正常情況下使用者質押ETH而獲得SETH，在抵押期過後進行資產清算，呼叫清算介面返還SETH獲得ETH；然而該漏洞可導致任意使用者都可以直接Burn掉其他使用者抵押的SETH進而獲得ETH。
不過由於該功能尚處於試用期，並未造成使用者實際資產損失。
● Beosin評論 ●
Defi專案正在快速發展壯大，據統計截止2020年，鎖定在以太坊Defi應用中的資產已達到了10億美元。Defi專案的火爆主要來源它的高收益。Defi又被稱為『去中心化金融』，開放式金融的基礎，則是高達8%-10%的收益率必然會伴隨著巨大的風險。
這是一個快速迭代的領域，因此各方Defi團隊開發自己的合約產品也是自由發揮；但並沒有一個統一的、標準的安全方案去遵守，或者說是必須透過嚴格的安全審計，這就導致了各種合約漏洞與相關安全問題層出不窮。
成都鏈安在此建議：任何Defi專案方在開發合約時應重視合約安全問題，以應對各種突發情況和各種非正常使用合約情況，從而避免造成損失；同時建議做好相關安全審計工作，藉助專業的區塊鏈安全公司的力量，避免潛在的安全隱患。
交易所方面
共發生『2』起較典型安全事件
01
3月初，美國司法部宣佈制裁涉嫌協助朝鮮駭客組織Lazarus Group洗幣的駭客田寅寅和李家東，並凍結了其所有資產。
駭客田寅寅和李家東曾在數家交易所使用假身份證和篡改後的照片，以繞過KYC流程。據統計，兩名中國公民被控從虛擬貨幣交易所駭客手中洗錢超過1億美元。
02
有情報顯示OMNI鏈上出現了新型USDT假充值攻擊，問題出現在交易所或錢包在檢測USDT充值時沒有校驗交易中的propertyid。駭客透過在鏈上發行新的其他代幣，然後對propertyid進行偽造，從而實現攻擊。
● Beosin評論 ●
假充值問題已經是老生常談的問題了。從最開始假充值問題頻發的EOS，再到後來的以太坊及各種代幣，以及OMNI鏈上的USDT，都曾遭遇過假充值問題。
造成假充值的原因主要在於兩個問題，代幣的真實性驗證和交易的成功與否驗證。因此成都鏈安建議：交易所和錢包等專案方在驗證交易的時候應驗證交易是否成功、代幣是否正確，以避免假充值攻擊。
詐騙跑路/加密騙局方面
共發生『4』起較典型安全事件
01
隨著新冠病毒（COVID-19）在全球的爆發，部分不法分子利用人們對新冠病毒的擔憂，進行與新冠病毒有關的加密騙局。
有騙局假冒世界衛生組織（WHO）和疾病控制與預防中心（CDC）向居民傳送郵件和簡訊，聲稱能夠提供居民所在地區COVID-19陽性居民的名單，並索要比特幣（BTC）；還有騙局是誘導使用者下載宣稱用於安卓裝置的假新冠病毒跟蹤應用程式CovidLock。其實為惡意軟體，用於鎖定使用者手機，進而進行勒索。
02
BTC虛假二維碼騙局。有網站聲稱免費將使用者的BTC地址對映成二維碼，便於使用者收錢轉賬；生成的二維碼實則為駭客地址。目前該駭客地址已有超過0.6BTC的轉入。
以下為惡意二維碼生成網站，請注意：
03
雪碧交易所上線空氣幣PETH，開盤即歸零。所有受害者皆為前期私募受害者，額度在80USDT到1000USDT不等，約為228人。初步估計涉及金額約40萬人民幣，有大學生不幸涉及其中。
04
區塊鏈資金盤『矽谷區塊雞』疑似跑崩盤路。『矽谷區塊雞』是典型的虛擬寵物類資金盤，類似於區塊貓，區塊狗，低價買入寵物，一段時間後高價賣出。此類加密騙局實則為擊鼓傳花類資金盤，直到無人接盤，即是專案崩盤的時刻。
其他方面
共發生『4』起較典型安全事件
01加密投資基金Trident遭駭客攻擊，26.6萬使用者資料遭洩露。
02微博使用者5.23億使用者資料洩露，並在暗網進行售賣。
03韓國N號房事件。使用者使用Telegram和虛擬貨幣進行交流和付款，由於韓國警方決定徹查參與直播間觀看的所有使用者，Upbit、Bithumb、Korbit、Coinone、火幣和Kucoin等交易所都表示願意配合警方調查使用者資訊。
04以太坊『一鍵發幣』平臺向開發的代幣合約植入後門，在給專案方發幣的同時偷偷轉幣至自己的賬號，待專案方代幣開始交易時再賣掉獲利。
▷鑑於當前區塊鏈安全領域的新形勢，『成都鏈安』在此總結：
總的來說，3月關於區塊鏈的安全事件仍然時有發生。安全事件發生的數量處於一箇中等水平，事件導致的損失也處於一箇中等的水平。然而這並不代表區塊鏈嚴峻的安全形勢趨於緩和，反而表現出所發生的安全事件涉及層面更廣。
其中包括持續升溫，但問題也日漸顯現的Defi專案；仍趨於活躍的暗網市場；洗錢問題；加密騙局；合約漏洞等等，都是當前形勢下難以忽視的安全問題。尤其暗網資金、加密騙局以及洗錢問題等，都是現階段各個交易所趨於合規化首要面臨的關鍵性問題，例如上文提及的田寅寅和李家東洗錢案中，兩人僅透過假身份和假照片的方式就輕易繞過了交易所的KYC驗證，從而幫助朝鮮駭客組織Lazarus Group洗錢超一億美元。
如何對鏈上交易風險進行持續監測和評估，以支撐VASP（虛擬資產服務商）、監管部門、執法部門等開展風險管理、合規監管和調查取證等業務，是成都鏈安後續開展區塊鏈生態安全監管和推動合規建設的重要攻堅工作。
在不久的將來，成都鏈安將針對這些亟需解決的痛點，推出『虛擬資產反洗錢合規及調查取證系統』——Beosin-AML。作為成都鏈安『一站式區塊鏈安全服務平臺』核心安全產品之一，Beosin-AML將全力助力區塊鏈生態應用建立完備的防護體系。
▲Beosin-AML產品介面先覽
