8 月 Web3 安全事件盘点：总损失约 3.16 亿美元
被黑事件共发生 28 起，导致损失约 2.53 亿美元，有 1358 万美元得到返还，事件原因涉及合约漏洞、账号被黑和前端攻击等。
撰文：慢雾科技
概览
2024 年 8 月，Web3 安全事件总损失约 3.16 亿美元。其中，据慢雾区块链被黑档案库 (https://hacked.slowmist.io) 统计，被黑事件共发生 28 起，导致损失约 2.53 亿美元，有 1358 万美元得到返还，事件原因涉及合约漏洞、账号被黑和前端攻击等。此外，据 Web3 反诈骗平台 Scam Sniffer 统计，本月有 9145 名钓鱼事件受害者，总损失达 6293 万美元。
(https://dune.com/scam-sniffer/august-scam-sniffer-2024-phishing-report)
主要事件
Convergence Finance
2024 年 8 月 1 日，Convergence Finance 被攻击，攻击者铸造并出售了 5800 万个 CVG 代币，约 21 万美元（相当于专门用于质押发放的全部代币份额）。此外，来自 Convex 的约 2 千美元未领取的奖励也被盗。根据 Convergence Finance 发布的事故分析报告，此次事件的根本原因是奖励分配合约的 `claimMultipleStaking` 函数缺乏对用户输入的验证。
(https://medium.com/@cvg_wireshark/post-mortem-08-01-2024-e80a49d108a0)
Ronin
2024 年 8 月 6 日，游戏区块链 Ronin 遭攻击，Ronin Bridge 项目出现异常提取跨链资产的行为。据慢雾安全团队分析，此次攻击是由于权重被修改为意外值，资金无需经过任何多重签名阈值检查即可提取。攻击者从桥中提取了约 4000 枚 ETH 和 200 万枚 USDC，价值约 1200 万美元。截至 8 月 7 日，白帽归还了价值 1200 万美元的资产，并获得 50 万美元的漏洞赏金。
(https://x.com/slowmist_team/status/1820783952145355247?s=46t=DLwbX9Nw4QECiyZQ0av-fg)
Nexera
2024 年 8 月 7 日，一名外部攻击者获得了管理 Nexera Fundrs 平台智能合约的凭证。利用这些凭证，攻击者从以太坊上的 Fundrs 质押合约中转移了 NXRA 代币，导致约 183 万美元的损失。在被盗的 4724 万 NXRA 代币中，攻击者只售出了 1475 万代币（约合 44.9 万美元）。Nexera 成功从攻击者的钱包中移除了剩余的 3250 万 NXRA 余额，防止了进一步的损失。
Vow
2024 年 8 月 13 日，Vow 因合约漏洞遭攻击，损失约 120 万美元。据 VOW 消息，当时团队正在测试 v$ 合约的 USD 汇率设置功能，以便为新的借贷池和预言机功能铸造 v$。攻击者利用了短暂的时间窗口和汇率变动，购买并发送了大量 VOW 代币到合约中，导致生成了近 20 亿 v$，并将其卖回 Uniswap 池中，从而获利。
(https://x.com/Vowcurrency/status/1823407231658025300)
User
2024 年 8 月 19 日，据链上侦探 ZachXBT 消息，一笔涉及 4064 BTC（约合 2.38 亿美元）的可疑转账可能来自一名潜在的受害者。随后资金很快被转移到 ThorChain、eXch、Kucoin、ChangeNow、Railgun 和 Avalanche Bridge。截至 8 月 27 日，已有 20.5 万美元被收回。
(https://x.com/zachxbt/status/1825499490956231021)
User
2024 年 8 月 21 日，据 Scam Sniffer 监测，一名受害者在签署了针对其 DeFi Saver Proxy 的网络钓鱼交易后，损失了价值 5543 万美元的 DAI。据 MistTrack 分析，这笔资金被发送到多个地址，随后大部分被兑换成 ETH。
(https://x.com/MistTrack_io/status/1826273448626356697)
Aave
2024 年 8 月 28 日，DeFi 借贷平台 Aave 的一个外围合约遭攻击，攻击者利用了一个任意调用错误，导致约 5.6 万美元的损失。受影响的外围合约 ParaSwapRepayAdapter 并不属于 Aave 核心协议，该合约用于允许用户利用现有的抵押品偿还贷款，通过去中心化交易所 ParaSwap 进行资产交换。虽然该合约本身并没设计为持有用户资金，但由于交易中的正滑点，合约中会逐渐累积一些剩余的代币。Aave 的相关人员强调，此次攻击没有对用户资金造成威胁，也没有影响核心 Aave 协议的安全。
(https://x.com/bgdlabs/status/1828736554262470792)
总结
本月账号安全问题成为风险重灾区，账号被黑事件数占总被黑事件数的 64.3%。值得注意的是，黑客的攻击对象不单是区块链知名项目和成员，还包括明星及传统行业的知名品牌，如足球明星 Kylian Mbappe，麦当劳等。黑客盗取知名账号后，常发布含有钓鱼链接的动态或推广某代币，慢雾安全团队提醒广大用户谨防钓鱼攻击，多方确认消息的真实性，谨慎投资。本月的账号被黑事件多发生在 Discord 上，此前我们在慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token 中讲解过 Discord Token 机制，点击链接可跳转阅读。
最后，本文收录的事件为本月主要安全事件，更多区块链安全事件可在慢雾区块链被黑档案库 (https://hacked.slowmist.io/) 查看，点击阅读原文可直接跳转。
免责声明：文章中的所有内容仅代表作者的观点，与本平台无关。用户不应以本文作为投资决策的参考。
你也可能喜欢
bitSmiley（SMILEY）：比特币在去中心化金融中的新纪元
什么是 bitSmiley？ bitSmiley 是基于比特币区块链的创新协议，在 Fintegra 框架下开发，以实现去中心化金融（DeFi）在比特币生态系统中的变革潜力。bitSmiley 包含三个主要组成部分——去中心化稳定币协议（bitUSD）、点对点借贷机制（bitLending）以及高级衍生品平台——它引入了一个复杂的 DeFi 生态系统，旨在提升比特币的实用性并重新定义其超越单纯价值存储的角色。 哪些风险投资公司支持 bitSmiley？ bitSmiley 吸引了致力于推进比特币去中心化金融的知名风险投资公司的关注。通过从领先的区块链投资者那里获得资金支持，bitSmiley
Zircuit (ZRC)：以太坊扩展的新前沿
什么是Zircuit（ZRC）？ Zircuit (ZRC) 是一种与 EVM 兼容的零知识汇总，旨在提供更快、更安全的区块链交易处理方式。通过使用零知识证明，Zircuit 增强了隐私和安全性，确保用户的信息保持机密，同时仍允许透明且可验证的交易。 谁创立了 Zircuit (ZRC)？ Zircuit 背后的创始者还未知。 哪些风险投资支持 Zircuit（ZRC）？ Zircuit 获得了区块链领域几家知名风险投资公司的大力支持。其中包括币安实验室、Pantera Capital、Dragonfly Capital、Maelstrom、Mirana Ventures 和 Nomad C
IOSG Weekly Brief｜Uniswap 革新下的机会与挑战——DEX 路在何方 #249
2024年大选：加密货币何去何从
2024年美国总统大选即将落下帷幕，其影响已超越传统政治，深入到包括加密货币在内的经济和技术领域。随着副总统卡玛拉·哈里斯（Kamala Harris）与前总统唐纳德·特朗普（Donald Trump）的总统宝座之争愈演愈烈，数字资产领域受到密切关注，因为这两位候选人的政策都可能对加密货币在美国的监管和市场前景产生影响，并可能影响全球金融体系和区块链技术。 加密货币与2024年的经济环境 此次选举是在货币政策发生重大变化的背景下举行的，美联储刚刚于2024年9月将联邦基金利率目标区间下调50个基点，降至4.75%-5.00%之间的水平。这是自2020年以来的首次降息，表明美联储在谨慎地缓解通
加密货币价格
更多
