×
Array
(
[fid] => 6980
[description] =>
[password] =>
[icon] =>
[redirect] =>
[attachextensions] =>
[creditspolicy] => Array
(
[post] => Array
(
[usecustom] => 1
[cycletype] => 1
[cycletime] => 0
[rewardnum] => 75
[extcredits1] => 0
[extcredits2] => 0
[extcredits3] => 0
[extcredits4] => 0
[extcredits5] => 0
[extcredits6] => 0
[extcredits7] => 0
[extcredits8] => 0
[rid] => 1
[fid] => 6980
[rulename] => 发表主题
[action] => post
[fids] => 32,52,67,447,1120,1151,1156,6750,6762,6763,6766,6769,6772,6773,6787,6796,6808,6809,6810,6813,6814,6820,6829,6830,6846,6856,6864,6865,6827,6930,6931,6776,6858,6880,6764,6932,6871,6758,6905,1116,6788,6812,6798,6736,6759,6842,6966,6767,6828,6924,6935,6936,6938,6940,6941,6826,6909,6803,6919,6911,6908,6881,6920,6912,6913,6921,6925,6922,6789,6818,6819,6872,6928,6969,6889,6888,6917,6939,6947,6961,6937,6943,6970,6869,6900,6902,6783,6817,1111,6870,6821,6951,6876,6952,6954,6960,6942,6910,6949,6962,6963,6964,6927,6926,6973,6728,6929,6874,6894,6896,6885,6857,6868,1113,6778,56,6844,6878,6802,6933,6811,6923,6877,6875,6918,6892,6757,6832,6833,6795,6793,6848,6837,6849,6850,6851,6852,6853,6854,6863,6882,6836,6790,6838,6794,6791,6873,555,6895,6934,6958,6944,6945,6907,6779,6886,6950,6904,6956,6862,6957,6855,6955,6959,6914,6965,6971,6972,6953,6975,6976,6799,6974,6824,6815,6891,6866,6979,6977,6765,6903,6948,6845,6879,1121,6980
)
[reply] => Array
(
[usecustom] => 1
[cycletype] => 4
[cycletime] => 0
[rewardnum] => 0
[extcredits1] => 0
[extcredits2] => 0
[extcredits3] => 0
[extcredits4] => 0
[extcredits5] => 0
[extcredits6] => 0
[extcredits7] => 0
[extcredits8] => 0
[rid] => 2
[fid] => 6980
[rulename] => 发表回复
[action] => reply
)
[digest] => Array
(
[usecustom] => 1
[cycletype] => 4
[cycletime] => 0
[rewardnum] => 0
[extcredits1] => 0
[extcredits2] => 0
[extcredits3] => 0
[extcredits4] => 0
[extcredits5] => 0
[extcredits6] => 0
[extcredits7] => 0
[extcredits8] => 0
[rid] => 3
[fid] => 6980
[rulename] => 加精华
[action] => digest
)
)
[formulaperm] => a:5:{i:0;s:0:"";i:1;s:0:"";s:7:"message";s:0:"";s:5:"medal";N;s:5:"users";s:0:"";}
[moderators] =>
[rules] =>
[threadtypes] => Array
(
[status] => 1
[required] => 0
[listable] => 0
[types] => Array
(
)
)
[threadsorts] => Array
(
)
[viewperm] =>
[postperm] =>
[replyperm] =>
[getattachperm] =>
[postattachperm] =>
[postimageperm] =>
[spviewperm] =>
[seotitle] =>
[keywords] =>
[seodescription] =>
[supe_pushsetting] =>
[modrecommend] => Array
(
[open] => 0
[num] => 10
[imagenum] => 0
[imagewidth] => 300
[imageheight] => 250
[maxlength] => 0
[cachelife] => 0
[dateline] => 0
)
[threadplugin] => Array
(
)
[replybg] =>
[extra] => a:2:{s:9:"namecolor";s:0:"";s:9:"iconwidth";s:0:"";}
[jointype] => 0
[gviewperm] => 0
[membernum] => 0
[dateline] => 0
[lastupdate] => 0
[activity] => 0
[founderuid] => 0
[foundername] =>
[banner] =>
[groupnum] => 0
[commentitem] =>
[relatedgroup] =>
[picstyle] => 0
[widthauto] => 0
[noantitheft] => 0
[noforumhidewater] => 0
[noforumrecommend] => 0
[livetid] => 0
[price] => 0
[fup] => 6974
[type] => sub
[name] => 币圈资讯
[status] => 1
[displayorder] => 0
[styleid] => 0
[threads] => 51596
[posts] => 51664
[todayposts] => 0
[yesterdayposts] => 0
[rank] => 61
[oldrank] => 60
[lastpost] => 2691052 Bitwise CIO：比特币的“成熟价位”是 50 万美元 1731502020 比推快讯
[domain] =>
[allowsmilies] => 1
[allowhtml] => 1
[allowbbcode] => 1
[allowimgcode] => 1
[allowmediacode] => 0
[allowanonymous] => 0
[allowpostspecial] => 1
[allowspecialonly] => 0
[allowappend] => 0
[alloweditrules] => 0
[allowfeed] => 0
[allowside] => 0
[recyclebin] => 1
[modnewposts] => 0
[jammer] => 0
[disablewatermark] => 0
[inheritedmod] => 0
[autoclose] => 0
[forumcolumns] => 0
[catforumcolumns] => 0
[threadcaches] => 0
[alloweditpost] => 1
[simple] => 16
[modworks] => 0
[allowglobalstick] => 1
[level] => 0
[commoncredits] => 0
[archive] => 0
[recommend] => 0
[favtimes] => 0
[sharetimes] => 0
[disablethumb] => 0
[disablecollect] => 0
[ismoderator] => 0
[threadtableid] => 0
[allowreply] =>
[allowpost] =>
[allowpostattach] =>
)
|
盘点跨链桥史上10大攻击：涉及超19亿美元 15.5亿美元被赔付或追回
[复制链接]
|
当前离线
经验:
天策币:
活跃币:
策小分:
总在线: 分钟
本月在线: 分钟
|
|
|
跨链桥资金量大且频繁遭到攻击，流动性前三的桥均出现过安全事故，说明跨链桥属于高危领域。 区块链世界已有上百条公链，然而因为缺乏主流资产，需要使用跨链桥从以太坊等公链上获取资产。近期，DeFi安全事故频发，跨链桥资金量大且频繁遭到攻击。下文中，PANews盘点了过去跨链桥中比较大的10次攻击过程，所有开发团队都需安全警钟长鸣。相对而言，开发团队背景越好越有资本的跨链桥在出现安全事故后，确实更容易找回资产或者由项目方进行赔付，因此用户选择有实力的跨链桥会更加稳妥。 
ChainSwap：涉及资金800万美元，重新发币2021年7月2日和7月11日，ChainSwap两次遭到黑客攻击，第一次损失约80万美元，第二次损失约800万美元。第二次攻击涉及的范围较大，超过20个使用ChainSwap进行跨链的项目受到影响。 根据ChainSwap的调查，本次事故是因为协议没有严格检查签名的有效性，攻击者可以使用自己生成的签名对交易进行签名。 由于损失的都是项目方的治理代币，包括ChainSwap自身在内的多个项目决定进行快照，并发行新的代币，以补偿代币持有者和LP。 相关阅读：《跨链桥项目Chainswap再遭黑客攻击，超20个项目被盗》 Poly Network：涉及6.1亿美元，已找回2021年8月10日晚间，跨链互操作协议Poly Network遭到黑客攻击，在以太坊、币安智能链、Polygon上分别损失2.5亿、2.7亿、8500万美元的资产，总损失约6.1亿美元。 本次攻击主要是Poly Network的合约权限管理逻辑存在问题。攻击者在源链上构造了一笔将目标链Keeper（中继链验证人）修改为自己的地址的操作；官方中继器毫无防备的提交了交易并执行替换Keeper的操作；攻击者通过替换后的Keeper地址对转出资产的操作进行了签名；交易通过验证并执行，资产被转移到黑客地址。 攻击者在事先已经做好准备，初始资金来源为隐私代币XMR，在无需KYC的交易所换成BNB、ETH、MATIC后提币。但黑客最终还是归还了所有资金，Poly Network也称对方为“白帽”黑客，并愿意聘请他担任公司首席安全顾问。 相关阅读：《被黑6.1亿美金的PolyNetwork事件分析与疑难问答》 Multichain：涉及600万美元，已赔付2022年1月18日，Multichain表示，发现一个对WETH、PERI、OMT、WBNB、MATIC、AVAX六种代币有影响的重要漏洞，虽然漏洞已修复，但用户需要尽快撤销授权，否则资产仍然可能面临风险。一个月后，Multichain官方发布了该漏洞的调查报告，共有7962个用户地址受到影响，4861个地址已撤销授权，其余3101个地址尚未撤销授权。共有1889.6612 WETH和833.4191 AVAX被盗。WETH和AVAX的损失按1月18日的价格计算，价值约604万美元。 据慢雾安全团队分析，这次被盗的原因是Multichain在检查用户传入的Token的合法性时出现问题，未考虑到并非所有underlying代币都有实现permit函数，导致事先有将WETH授权给AnyswapV4Router合约的用户的WETH被转移到攻击者恶意构建的地址中。 在Multichain官方发布漏洞调查报告时已有912.7984 WETH和125 AVAX被追回，占被盗资金总额的近50%。团队发起提案，将被盗资金退还给已撤销合约授权的用户，但不再对2月18日24:00之后的损失进行赔付。 相关阅读：《慢雾分析Multichain被盗经过，合约一函数未检查用户传入Token的合法性》 QBridge：涉及8000万美元，仅赔付2%2022年1月28日，借贷协议Qubit的跨链桥QBridge遭到攻击，损失约8000万美元。 本次事故的原因在于QBridge在对白名单代币进行转账操作时，未对其是否是零地址再次进行检查。在充值ERC20代币和ETH分开实现的情况下，调用deposit函数本该是存入ERC20代币的交易，黑客的deposit操作中将ERC20代币的地址设为零地址，在没有存入任何代币的情况下，在BSC上凭空铸造了大量xETH代币。以这些xETH代币为抵押品，从Qubit中借出其它代币，导致Qubit中的抵押品耗尽。 目前Qubit已几乎无人使用，官网显示还有98%的被盗资金尚未得到赔付。 相关阅读：《Qubit项目的QBridge遭受攻击主要由于未对其是否是0地址再次进行检查》 Meter.io：涉及440万美元，用未来收益赔付2022年2月6日，Meter Passport跨链桥被恶意利用，造成440万美元的损失。 Meter官方表示，问题出在Meter上扩展原始码出现的“错误的信任假设”，让黑客以“调用底层ERC20存款功能”来伪造BNB和ETH转账。 Meter首先称，将用MTRG代币赔偿用户的BNB和WETH损失。但在治理投票中，决定新发行PASS代币赔付给用户，后续用Meter的未来收益回购PASS代币，但尚未进行过任何回购。 相关阅读：《PeckShield：Meter.io跨链桥遭黑客攻击，损失约430万美元》 Ronin：涉及6.2亿美元，已赔付2022年3月29日晚间，区块链游戏Axie Infinity背后的Ronin链上的资金被盗。此次被盗发生在3月23日，但直到3月29日才被发现。本次攻击造成的损失约6.2亿美元。 根据Sky Mavis博客文章和The Block的报道，Ronin的被盗指向社会工程学攻击。一家虚假公司的员工通过领英联系到了Axie Infinity和Ronin开发商Sky Mavis的员工，并鼓励他们申请工作。Sky Mavis的一名员工在经过多次面试之后获得了“Offer”。在下载了伪造的“Offer”录取信后，黑客软件渗透到Ronin的系统中，接管了Ronin网络9个验证者中的4个。随后，黑客通过Sky Mavis控制了Axie DAO，后者曾允许Sky Mavis代表其签署各种交易，一旦攻击者能够访问Sky Mavis，就可以从Axie DAO验证器中获得签名。 Ronin的被盗资金并未能追回。4月4日，Sky Mavis宣布完成了一笔币安领投的1.5亿美元融资，用于赔偿用户损失。6月29日，Sky Mavis宣布重新上线Ronin桥，用户可以获得赔偿。但被盗资金主要为ETH（包括173600 ETH和2550万USDC），在攻击至赔付期间，ETH价格下降约2/3。 相关阅读：《价值5.4亿美元的Offer：Ronin遭攻击源自工程师打开了一家虚假公司的录取信》 Wormhole：涉及3.26亿美元，已赔付2022年2月3日，跨链互操作协议Wormhole遭到黑客攻击，损失约12万枚ETH，价值约3.26亿美元。 黑客在Wormhole的Solana一侧大量增发whETH，并从以太坊上提走了所有ETH。2月5日，Wormhole在针对该事件的报道中称，此次漏洞是因为Solana端Wormhole核心合约签名验证代码存在错误，攻击者可以伪造来自“监护人”的消息来铸造whETH。 2月4日，Jump Crypto（此前Jump Crypto收购了Wormhole的开发公司Certus One）宣布为Wormhole投入12万ETH，以弥补Wormhole的被盗损失，Wormhole已恢复运行。 相关阅读：《跨链桥Wormhole遭黑客攻击，约3.26亿美元资产被盗》 EvoDeFi：预计涉及上千万美元，未处理2022年6月7日，Oasis生态DEX ValleySwap上的USDT严重脱锚。ValleySwap曾是Oasis链上最大的DEX，TVL最高为2.2亿美元。由于USDC-USDT交易对的流动性挖矿收益较高，当时有部分用户在ValleySwap上用这两种稳定币挖矿。Defi Llama显示，ValleySwap上的资金从6月4日开始大量流出，6月7日时的TVL为8878万美元，具体损失金额未知，预计在上千万美元级别。 ValleySwap上资产脱锚的原因在于使用的跨链桥EVODeFi在源链上的流动性已经不足。EVODeFi称是因为FUD恐慌导致的问题，但这个理由显然站不住脚。Oasis官方人员则回应称，已提示EVODeFi存在风险，Oasis网络与ValleySwap和EvoDeFi没有任何关联，EvoDeFi是高风险的、未经审计，也不是开源和去中心化的。本次事故的原因可能为EVODeFi通过后门盗取了用户资产。 用户的损失并没有任何解决方案，公链Oasis急于与自己摆脱关系，ValleySwap和EVODeFi的官方推特均在6月8日后停止更新，约等于跑路。 相关阅读：《Oasis生态DEX ValleySwap上的USDT已严重脱锚》 Horizon：涉及近1亿美元，正在制定赔偿方案2022年6月24日，Harmony官方跨链桥Horizon遭到攻击，共造成约1亿美元的资金损失。 6月26日，Harmony创始人Stephen Tse承认，可能是“私钥泄露”导致了本次攻击。资金在以太坊和BNB链上被盗，被盗资产包括BUSD、USDC、ETH、WBTC等。此前，以太坊与Horizon间的多重签名只需5个中的2个即可转移资金，事后需要的签名数被修改为5个中的4个。 Harmony曾希望通过增发ONE代币，在3年时间里赔偿用户的（部分）损失，但目前并未与社区达成一致。在Harmony社区7月27日发起的赔偿提案中，Stephen Tse表示，理解社区的担忧，将重新制定赔偿提案。 相关阅读：《安全团队：Harmony Bridge遭遇攻击原因或为私钥泄露》 Nomad：涉及1.9亿美元，处理中2022年8月2日，Nomad中的流动性被迅速耗尽，在发生安全事故前Nomad中共有1.9亿美元的流动性。本次事故也导致另一个Layer2互操作性协议Connext损失约334万美元，当时Connext路由在受影响的链上持有约334万美元的madAssets。 据Paradigm研究员samczsun分析，本次事故是因为Nomad在一次合约升级中将可信根初始化为0x00，导致任何人都可以使用一笔有效的交易，用自己的地址替换对方的地址，然后将交易广播出去即可从跨链桥提取资金。 据欧科云链分析，本次攻击涉及到1251个ETH地址，涉案金额约1.9亿美元，其中包括12个ENS地址，ENS地址约占总金额的38%。项目方并未给出一个确切的赔付方案，已有部分白帽黑客表态愿意归还资金。 相关阅读：《Nomad黑客事件复盘：1.9亿美元被盗仅因一个低级错误》 小结跨链桥安全事故的多发足以让我们保持警惕，按流动性排名前三的桥Multichain、Portal（Wormhole）、Poly Network均发生过安全事故，说明跨链桥属于高危领域，任何跨链桥都有可能再次出现安全问题。 相对而言，开发团队背景越好越有资本的跨链桥在出现安全事故后，确实更容易找回资产或者由项目方进行赔付，如Poly Network、Ronin Network、Wormhole的巨量资金被盗后找回，或进行了足额赔付。 团队的实时监控和积极处理是有效的，Hop Protocol和Stargate在收到可疑活动报告后都快速进行了处理，即时狙击黑客未能攻击成功。 来源：金色财经 |
|
|
|
|
|
|
|
|
|
