欧易

欧易(OKX)

国内用户最喜爱的合约交易所

火币

火币(HTX )

全球知名的比特币交易所

币安

币安(Binance)

全球用户最多的交易所

半年被盗 20 亿美金,黑客与监管都盯上了 Web3

时间:2023-06-28 16:47:19 | 浏览:155

Web3 这一个月来风波不断。8 月初,明星公链 Solana 发生黑客盗币事件,超过 9000 个钱包地址被袭击,损失约 400 多万美元,在用户中引发了一波恐慌情绪,也让 Solana 陷入信用危机。几天后,加密货币混币器 Tornad

Web3 这一个月来风波不断。

8 月初,明星公链 Solana 发生黑客盗币事件,超过 9000 个钱包地址被袭击,损失约 400 多万美元,在用户中引发了一波恐慌情绪,也让 Solana 陷入信用危机。

几天后,加密货币混币器 Tornado Cash 被美国财政部的下属机构——海外资产控制办公室(OFAC)列入制裁名单,其中包括 40 多个与 Tornado Cash 协议相关的以太坊地址,涉及价值超 4 亿美元的资产被冻结。

定位于隐私服务的混币器,在加密社区的名声一直备受争议,其中的「头部」Tornado Cash 更是有「脏币销金窟」之称。

Tornado Cash 被美国财政部制裁后,其代币价格大幅下降。|来源:business2community.com

这次制裁意味着美国的社区用户,无论个人还是实体,都不得再与 Tornado Cash 平台以及和它绑定的钱包地址进行经济交易。按照过往的案例,如果违规,可能面临高达 30 多万美元的罚款和最高 30 年的监禁。

紧接着,外媒曝出 29 岁的 Tornado Cash 开发者在荷兰阿姆斯特丹被逮捕,当地执法部门称 Tornado Cash 涉嫌隐瞒非法资金流动和协助洗钱,从今年 6 月份开始一直在对其进行调查。

Tornado Cash 被制裁,在加密行业引发「站队」。有人公开表达不满,认为美国财政部监管越界,侵犯了美国公民的隐私权和自由;也有人带头响应监管,稳定币 USDC 的发行方 Circle 迅速冻结了 Tornado Cash 相关钱包地址上的资产。

Web3 正面临着崛起以来最严峻的安全考验与审查压力。2022 年上半年,Web3 领域的资产损失约为 20 亿美元,超过了去年全年被黑客攻击的总损失数额。随之而来的连锁反应是,监管执法之手越伸越长。

人们的惯常认知中,强调去中心化逻辑的 Web3 本应拥有更强的安全性和私密性,如今却被黑客和监管双双盯上。加密世界正经历着对其未来命运影响深远的动荡时刻。

黑客打劫 Solana:一场悬而未决的「公案」

距离 Solana 发生黑客盗币时间已经过去半个多月,官方依然没有给出最终的调查结果。

区块链安全公司慢雾科技团队分析发现,根据 Solana foundation 提供的数据显示,近 60% 被盗用户使用的是 Phantom 钱包,此外有 30% 左右地址使用了 Slope 钱包,并且 iOS 和 Android 版本的应用都有相应的受害者。

事发 3 天后,Slope 曾在 twitter 上发布了一个官方钱包地址,并公开表示,一直在与执法部门和情报公司合作追踪被盗资产,如果黑客愿意归还,可以向其支付 10% 的赏金。「收回这些资金后,我们就不会再继续追究,也不会采取任何法律行动。」

Slope 团队给黑客留了 48 小时的时间来归还资产,但这个赏金要约并未得到黑客的回应。

Slope 钱包官方向黑客发出赏金要约。|来源:twitter

硬件钱包 Keystone 创始人刘力心还记得,事发当天,他被拉进了一个有 100 多位白帽黑客的「war room」,安全专家们讨论了事件可能的经过。

「最初的猜测是某个 NFT 项目被集体攻击。」刘力心回忆,从被黑的钱包地址数量来看,八九千个的量级通常是某个 NFT 项目发行的常见数量,最初的猜测是某个 NFT 项目方作恶,例如进行了恶意授权。

但这个猜测很快被否定。安全技术人员发现,有几笔被盗交易的发生是由于用私钥做签名,而不是错误授权导致资产转移。接下来,关于事故原因的猜测还有供应链攻击、黑客撞取随机数、采取不恰当的签名方式等等,随后也都被一一推翻。

当天下午,一位海外研究人员发现,Solana 链上的 Slope 钱包私有化部署了第三方应用监控服务 Sentry,会收集用户的私钥或助记词等信息,然后上传到中心化的服务器。

Sentry 是一个应用监测平台,可以实时监控应用在运行状态时出现的异常或错误日志信息。如果 Sentry 发现了系统 bug,会通过邮件等方式通知应用方的技术人员。

在加密世界,Sentry 服务被广泛应用,Slope 钱包就是其一。但使用 Sentry 时需要注意一个问题,如果出现了配置错误,Sentry 可能会收集到额外的数据,如私钥或助记词等私密信息。

安全专家们推测,在 Solana 盗币事件中,用户创建钱包时,Slope 将助记词和私钥等敏感数据错误发送给了 Sentry。这给黑客提供了可乘之机,黑客窃取了存储在 Sentry 中心化服务器上的私钥。

经过调查后,Slope 发布声明称,虽然上述安全漏洞确实存在,但被攻击的 Slope 地址的数量只是这次被盗钱包地址总数的一小部分。目前也暂无证据表明 Sentry 官方遭到了入侵和攻击,因为 Slope 钱包使用的 Sentry 服务部署在私有服务器。

此外,具体数据来看,服务器上的私钥和助记词派生出来的地址中,与受害者地址有交集的,只有 5 个以太坊地址和 1388 个 Solana 地址。也就是说,Slope 此次被黑的超过 2700 个钱包中只有一半存在 Sentry 漏洞,这无法解释其余用户钱包是如何被黑的。

就已经掌握的调查结果来看,已知的攻击者地址有 4 个,被盗资产在 Solana 链上尚未出现进一步转移,但在 ETH 链上,一些资金已经被转移到疑似 OTC 个人钱包地址,剩余部分被兑换为 ETH 后,转移到了 Tornado Cash。

Web3「危机四伏」

在这次 Solana 被袭同期,跨链桥 Nomad Bridge 也受到攻击。值得注意的是,参与攻击 Nomad Bridge 的黑客有上百位,甚至包含了「白帽子」,损失近 2 亿美元。

慢雾科技首席信息安全官(CISO)张连锋告诉极客公园,目前对 Web3 的攻击类型主要有两种:

  • 一是链上攻击,例如假充值、重入攻击、重放攻击、重排攻击等。这类攻击往往更加隐秘,需要通过专业的代码安全审计、完备的链上分析监测预警等方法来识别。
  • 二是链下攻击,如高级长期威胁(APT)、网络钓鱼、供应链攻击等。这类都是传统 Web2 常见的安全问题,但是目前却对 Web3 生态安全产生了很大影响。

今年 4 月,周杰伦丢失价值超 300 万人民币的无聊猿编号 3738 的 NFT,就是因为无意中点击了钓鱼链接。

周杰伦被盗的无聊猿 NFT。|图片源自网络

Web3 自带金融属性,金钱的诱惑下,更容易被黑客盯上。随着 Web3 玩家的体量不断扩大,加密货币犯罪也呈现快速上涨趋势。

根据慢雾区块链被黑事件档案库(SlowMist Hacked)统计,2022 年上半年,Web3 领域的资产损失接近 20 亿美元,已经超过 2021 年全年因黑客攻击漏洞造成的总损失。

2022 年因此被称作「Web3 兴起以来损失最惨重的一年」。其中,以去中心化程度低、流动资金量大的跨链桥受损最为严重。

截至 6 月 30 日,今年共发生 7 起跨链桥安全事件,损失超过 10 亿美元,占上半年总资产损失的半数以上。在上半年损失金额达到上亿美元的 4 起事件中,有 3 起波及跨链桥。

比较有代表性的是区块链游戏 Axie Infinity 的侧链 Ronin Network 被袭,造成 6.24 亿美元的损失,以及 Solana 的跨链桥项目 Wormhole 被攻击,损失 3.26 亿美元。

除了跨链桥,区块链钱包也是安全事件发生的「重灾区」。

钱包是用户管理加密资产的工具,也是用户进入各类 Web3 应用的账户入口,加密世界的交互和交易通过钱包来进行。

钱包包含着基于公钥和私钥生成的地址,表面上看是一组有字母、数字构成的符号串。其中的私钥可以对照理解为 Web2 支付工具的密码,掌握这个「密码」的人才是加密资产的真正主人。

所以,私钥一般是黑客攻击窃取的关键信息。通常来说,大部分钱包都会与网络连接,私钥泄露的风险系数较高。

加密货币被黑客盗取后,主要流向就是洗钱场景,以混币器为代表性「帮凶」。

从隐私保护出发的混币器,本来的设想是消除用户的链上交易痕迹,却被黑客用作转移被盗资产后的洗钱工具。不久前被制裁的 Tornado Cash 自 2019 年创建以来,已经「清洗」了价值超过 70 亿美元的虚拟货币。

今年 5 月份的时候,美国曾经制裁了中心化混币平台 Blender,理由是 Blender 涉嫌帮助朝鲜知名黑客组织 Lazarus Group 清洗从 Axie Infinity 盗取的部分资产。

Lazarus Group 是一个来自朝鲜的网络黑客集团,在 2021 年共窃取了价值超 4 亿美元的加密货币。

以美国政府为代表的监管势力盯上混币器,黑客们的如意算盘未来或许打得不那么响。制裁犯罪固然重要,但另一个关键的问题是,加密世界亟需更优化的安全方案,在财产、隐私保护与犯罪监管之间寻求平衡。

无论对浅试 Web3 的个体玩家还是 All in 的建设者来说,在通向一个美丽新世界之前,先要走过一片遍布安全陷阱的暗黑森林。

相关资讯

建设Web3需要Web2的人才?探索传统技能在Web3时代的作用

摘要:Web3作为下一代互联网技术的前沿,许多人关注着它的发展和应用。然而,建设Web3是否需要Web2的人才仍然是一个有争议的问题。Web3作为下一代互联网技术,以去中心化、智能合约和用户自治等特点引起了广泛的关注。与此同时,Web2作为

Web3行业专题研究:Web3,过去一年发生了什么?

(报告出品方/作者:华泰证券,黄乐平、于可熠)Web3:以所有权为核心的价值网络伴随着底层技术的发展突破以及用户需求的演化升级,互联网的范式也在发生着演进。为 了解决原始 web 网络无法支持普通人进行信息交流和分享的难题,一个“可读”的

Web3.0带来天翻地覆的变化?全面科普!所谓的Web3.0到底是什么?

Web3.0在2021年尾声突然蹿红,在美国国会的听证会里,一句“我们如何确保web3革命发生在美国”引发了大家对于Web3.0的关注,而后马斯克一篇内容为“有人看过web3.0吗? 我没有找到”的推文,将关于Web3.0的讨论推向了高潮。

CertiK顾荣辉:Web3正在吞噬全世界,但黑客们正在吞噬Web3

2022 年春天,在加密货币领域一些最混乱的事件发生之前,一位名叫米卡·约翰逊(Micah Johnson)的 NFT 艺术家举行了一场新的作品拍卖。约翰逊在加密圈子中以他的角色阿库(Aku)而闻名,阿库是一个梦想成为宇航员的年轻黑人男孩。

我去了中国最大的 Web3 聚会,发现人们想要的不是 Web3

01危险气氛忽然凝重起来。眼前这位漂亮姑娘不经意间皱起眉头,盯着我朋友递给她的手机屏幕,纠结该输入些什么。10 秒钟之前,我们正坐在这家咖啡馆里相谈甚欢,气氛融洽,直至提出互加微信。时间停滞了那么一下。这位供职于国外某加密交易所的姑娘略带尴

半年被盗 20 亿美金,黑客与监管都盯上了 Web3

Web3 这一个月来风波不断。8 月初,明星公链 Solana 发生黑客盗币事件,超过 9000 个钱包地址被袭击,损失约 400 多万美元,在用户中引发了一波恐慌情绪,也让 Solana 陷入信用危机。几天后,加密货币混币器 Tornad

Web3社交平台怎么样了?能否复刻Web2社交平台的成功?

Web2社交平台如Facebook、Twitter和Instagram等已经在过去的几十年里取得了巨大的成功,成为了人们日常生活中不可或缺的一部分。然而,随着Web3技术的兴起,越来越多的人开始关注Web3社交平台的发展,并猜测它是否能够复

建设 Web3,现在最需要 Web2 的移民?

从某种意义上看,人们在期待一场「熊市」。在经历过 3 年的狂暴牛市之后,2022 年,加密货币行业逐渐进入熊市——比特币单价从最高的 6 万 9 千美元跌落到现在的 1 万 7 千美元,遭遇脚踝斩。第二大币种以太坊同此凉热,单价从最高 47

万维网之父:Web3 根本不是 Web,我们应该忽略它

作者 | Ryan Browne译者 | 明知山策划 | Tina万维网之父、英国计算机科学家 Tim Berners-Lee 在 2022 年 Web 峰会上表示,区块链并不是构建下一代互联网的可行解决方案,我们应该忽略它。他有自己的 W

为什么Web3到现在还没人用?

Web3让传统互联网进行了一场彻底的升级,用去中心化的协议和社区所有权替代了中心化的“看门人”和中介。Web3的底层逻辑对于信仰加密技术的人来说极具吸引力。不过我们也必须认识到:Web3目前仍是小众行业,还没有实现大规模应用。虽然Web3的

我,在Web3,赚了100万

图片来源@视觉中国文|陀螺财经,作者|尹宁Web3,永远不缺传奇故事。这些故事,或惊喜,新东方英语老师套现BTC成亿万富翁;或开怀,屠夫成就一片天;或惊悚,某嘉宾演讲现场被FBI便衣押走;或悬疑,大佬为逃避追踪重金将自己扔入海中漂流,但不论

押注Web3的顶级VC,后悔了?

2022年5月,Web3赛道迎来了一个重大利好,硅谷知名风投机构A16Z宣布其首个面向元宇宙、AR/VR、游戏研发工作室、玩家社区产品的游戏基金Games Fund One正式完成募资,规模达到6亿美元,主要瞄准三个投资方向:-新一代游戏研

解读中国与西方Web3的区别:揭示误解与真相

摘要:中国和西方在对待Web3的态度和实践中存在着明显的差异。本文将深入探讨中国与西方Web3之间的区别,解读其中的误解,并揭示真相,旨在帮助读者更好地理解和评估这两种不同的Web3模式。Web3作为下一代互联网的发展方向,在全球范围内引发

为什么95%的Web3项目都会死掉?

图片来源@视觉中国文 | 日晞研究所,作者|麋鹿,编辑|幺幺、Lydia、大富2023年1月15日,比特币因为突破21000美元冲上了抖音热搜榜第二,当天搜索量冲到了1130.3万。尽管如此,对于国内的用户来说,比特币,Web3这样的名词还

专访香港特区政府官员:不想错失Web3 分三步构建生态

财联社6月28日讯(记者 徐赐豪 张洋洋)“香港错过Web1、Web2的红利,所以我们不会错失Web3。”近日,香港特区政府投资推广署金融科技主管梁瀚璟在接受元宇宙NEWS记者专访时强调。自去年10月31日香港特区政府发表《有关香港虚拟资产

友情链接

网址导航 SEO域名抢注宝宝起名网妈妈知道币圈舟山新闻消息网天堂寨旅游攻略吉安新闻头条网交换人生电影网柴蔚影迷网防城港白浪滩旅游漳州新闻头条网越南旅游网凤凰古城旅游网儋州新闻头条网餐饮加盟网张子枫影迷网娃哈哈晶睛新零售抖音直播电商资讯网冰岛旅游官网
Web3概念网-Web3概念股是指在加密货币和区块链领域中的企业股票,这些企业致力于开发使用Web3技术的应用程序和基础设施。Web3.0作为元宇宙的数字基座,是下一代互联网,具备区块链去中心化、分布式、共享共建的特点。元宇宙将推动进入第三代互联网,从PC互联网到移动互联网,再到元宇宙互联网,元宇宙将推动互联网进入3.0时代。
Web3概念网 pinzhili.cn ©2022-2028版权所有