随着全球數字化程序的不斷加速，區塊鍊技術作為一種新興的去中心化交易方式，正逐漸成為數字經濟的核心基礎設施之一。然而，随着區塊鍊應用場景的不斷拓展，其面臨的安全風險也在逐漸增加。在這樣一個背景下，了解 Web3 區塊鍊安全态勢及加密行業監管政策，成為保障區塊鍊應用安全和穩定的必要措施之一。本研究報告由區塊鍊安全公司 Beosin 和 SUSS NiFT 聯合發起的區塊鍊生态安全聯盟共同創作，圍繞 2023 年上半年全球區塊鍊安全态勢、Web3 熱點事件及加密行業重點監管政策等，進行深入分析和總結，旨在為讀者提供有價值的參考和啟示，助力區塊鍊技術的安全健康發展。
資料圖表可在此處查閱（資料截止 6 月 25 日）
一、 2023 第一季度 Web3 安全态勢綜述
據區塊鍊安全審計公司 Beosin 旗下 Beosin EagleEye 安全風險監控、預警與阻斷平台監測，2023 年上半年 Web3 領域因黑客攻擊、釣魚詐騙和項目方 Rug Pull 造成的總損失達到了 6 億 5561 萬美元。其中攻擊事件 108 起，總損失金額約 4 億 7143 萬美元；釣魚詐騙總損失金額約 1.08 億美元；項目方 Rug Pull 事件 110 起，總損失約 7587 萬美元。
Web3 領域黑客攻擊事件的總損失金額較去年有了大幅度下降。2022 年上半年攻擊總損失約 19.1 億美元， 2022 年下半年約 16.9 億美元，而 2023 上半年該數值下降到了 4.7 億美元。
從被攻擊項目類型來看，DeFi 依舊是被攻擊頻次最高、損失金額最多的類型。85 次 DeFi 安全事件總損失金額達到了 2.92 億美元，占總損失金額的 62% 。
從鍊平台類型來看，75.6% 的損失金額來自 Ethereum，約 3.56 億美元，居所有鍊平台的第一位。
從攻擊手法來看（按根本原因進行統計），最頻發、造成損失最多的攻擊手法為合約漏洞利用。60 次合約漏洞事件造成損失 2.64 億美元，占所有損失金額的 56% 。
從資金流向來看，約有 2.15 億美元的被盜資産得以追回，占所有被盜資産的 45.5% 。另外約有 1.13 億美元的被盜資産轉入了 Tornado Cash 和其他混币器。
從審計情況來看，被攻擊的項目中，約有 49% 的項目沒有經過審計。
與黑客攻擊事件較 2022 年下降的趨勢相反的是，對普通使用者而言，釣魚詐騙和項目方 Rug Pull 事件在 2023 年上半年更加頻發。據不完全統計，這兩類事件涉及總金額達到了至少 1.84 億美元。由于釣魚門檻技術的降低（例如可以通過一些管道向釣魚團夥購買惡意工具包，賺取利潤後進行分成），導緻 2023 年上半年釣魚詐騙事件大幅增加，成為威脅 Web3 使用者安全的主要原因。
二、攻擊事件總覽
108 起攻擊事件造成損失 4 億 7143 萬美元
2023 年上半年，Beosin EagleEye 安全風險監控、預警與阻斷平台共監測到 Web3 領域主要攻擊事件 108 起，總損失金額達 4 億 7143 萬美元。其中損失金額超過 1 億美元的安全事件共 1 起，損失在 1000 萬美元 - 1 億美元區間的事件共 7 起， 100 萬美元 - 1000 萬美元區間的事件 23 起。
損失金額超過千萬美元的攻擊事件（按金額排序）：
● Euler Finance - 1.97 億美元
3 月 13 日，DeFi 協定 Euler Finance 遭到攻擊，損失達到了 1.97 億美元。4 月 4 日，Euler Labs 在推特上表示，經過成功協商，攻擊者已歸還了所有盜取資金。
● Atomic Wallet - 6700 萬美元
6 月 3 日，多名 Atomic Wallet 使用者在社交媒體發文稱自己的錢包資産被盜，統計發現被盜金額至少達到了 6700 萬美元。黑客已将被盜資金通過混币平台 Sinbad 進行了清洗，被攻擊原因仍在調查中。
● MEV attack - 2500 萬美元
4 月 3 日，多個 MEV 機器人遭受惡意三明治攻擊，總共損失約 2500 萬美元。
● Bitrue - 2400 萬美元
4 月 14 日，加密交易所 Bitrue 熱錢包遭受攻擊，損失達 2400 萬美元。
● FPG - 2000 萬美元
6 月 11 日，加密貨币經紀公司 Floating Point Group (FPG）遭到網絡攻擊，損失約 2000 萬美元的加密貨币。
● GDAC - 1300 萬美元
4 月 9 日，南韓加密貨币交易所 GDAC 遭到黑客攻擊，損失近 1300 萬美元。
● Yearn Finance - 1150 萬美元
4 月 13 日，Yearn Finance 的 yusdt 合約遭受黑客攻擊，黑客獲利超 1000 萬美元。
● MyAlgo Wallet - 1120 萬美元
2 月，MyAlgo 錢包遭到中間人攻擊，損失達 1120 萬美元。
三、被攻擊項目類型
85 次 DeFi 安全事件造成 2.92 億美元損失
2023 年上半年，DeFi 類型項目共發生 85 次安全事件，占總事件數量的 78.7% 。DeFi 總損失金額達到了 2.92 億美元，占總損失金額的 62% 。DeFi 為被攻擊頻次最高、損失金額最多的項目類型。
85 次 DeFi 安全事件裡，有 51 起安全事件都源自于合約漏洞利用，損失達 2.49 億美元，占 DeFi 損失總金額的 85% 。
錢包攻擊事件帶來了約 7820 萬美元的損失，金額占所有項目類型的第二位。其中 Atomic Wallet 攻擊事件至少損失了 6700 萬美元，MyAlgo 錢包攻擊事件損失為 1120 萬美元。
排名第三的項目類型為交易所，損失約 5014 萬美元。交易所攻擊事件在 2022 年全年資料裡損失排名也是第三位，今年延續了攻擊頻發趨勢。
跨鍊橋項目在 2022 年損失金額排名第一（18.9 億美元），而在 2023 年上半年損失大幅下降到了 138 萬美元。
四、各鍊平台損失金額情況
75.6% 的損失金額來自 Ethereum
2023 年上半年，Ethereum 鍊上共發生主要攻擊事件 27 起，損失金額約為 3.56 億美元。Ethereum 鍊上損失金額居所有鍊平台的第一位，占比約 75.6% 。
BNB Chain 上監測到了最多的攻擊事件，達到了 58 起，攻擊事件總數占所有事件的 53.7% 。BNB Chain 上發生的 58 次攻擊事件裡，有 40 個被攻擊項目都未經審計。
Arbitrum 鍊上共發生 7 次攻擊事件，造成損失約 1671 萬美元，安全事件損失金額和數量與 2022 年相比有所增加（Arbitrum 在整個 2022 年隻發生過兩次主要的安全事件）。
2022 年 Solana 鍊上損失金額排所有公鍊的第三位，而在 2023 年上半年并未監測到主要攻擊事件。
五、攻擊手法分析
合約漏洞利用最頻發、損失金額最多
* 說明：多種攻擊手法并存時，以根本原因為準進行分類。資訊不足或項目方未公布原因的攻擊事件分類至「暫不清晰」
2023 年上半年，攻擊原因最頻發、造成損失最多的攻擊手法為合約漏洞利用。60 次合約漏洞事件造成損失 2.64 億美元，占所有損失金額的 56% 。
約有 1 億美元的安全事件攻擊手法暫不清晰，其中包括 Atomic Wallet 錢包被盜 6700 萬美元、加密貨币經紀公司 FPG 被攻擊 2000 萬美元等事件。此類事件涉及金額大，影響使用者衆多。建議此類項目方在進行事件原因調查的同時，應積極和第三方安全公司進行合作，及時公布調查結果，采取必要的修複措施，對使用者資産安全肩負起責任。
另外，還有 7 次私鑰洩露事件造成了約 2767 萬美元的損失。在 2022 年，私鑰洩露損失也是居所有攻擊類型的第三位。私鑰洩露事件一直持續威脅着項目方安全。從一些事件披露來看，加強核心成員的職業道德和安全意識管理尤為重要。
按照漏洞類型細分，造成損失最多的前三名分别是業務邏輯缺陷、權限問題和重入。36 次業務邏輯漏洞共造成了約 2.39 億美元的損失，占所有因合約漏洞攻擊損失的 90% 。此類漏洞是開發者最容易遺漏的問題，被攻擊後造成的損失往往較大，有 9 起事件的損失金額都超過了 100 萬美元。建議項目方尋找富有經驗的專業審計公司進行審計。
六、典型案例攻擊手法分析
6.1 Euler Finance 安全事件
3 月 13 日，Ethereum 鍊上的借貸項目 Euler Finance 遭到閃電貸攻擊，損失達到了 1.97 億美元。
3 月 16 日，Euler 基金會懸賞 100 萬美元以征集對逮捕黑客以及返還盜取資金有幫助的資訊。
3 月 17 日，Euler Labs 首席執行官 Michael Bentley 發推文表示，Euler「一直是一個安全意識強的項目」。從 2021 年 5 月至 2022 年 9 月，Euler Finance 接受了 Halborn、Solidified、ZK Labs、Certora、Sherlock 和 Omnisica 等 6 家區塊鍊安全公司的 10 次審計。
從 3 月 18 日開始至 4 月 4 日，攻擊者開始陸續返還資金。期間攻擊者通過鍊上資訊進行道歉，稱自己「攪亂了别人的錢，别人的工作，别人的生活」并請求大家的原諒。
4 月 4 日，Euler Labs 在推特上表示，經過成功協商，攻擊者已歸還了所有盜取資金。
漏洞分析：複盤 Euler Finance 2 億美元被盜案的來龍去脈，本次事件帶給我們哪些啟示？
6.2 BonqDAO 安全事件
2 月 1 日，加密協定 BonqDAO 遭到價格操控攻擊，攻擊者鑄造了 1 億個 BEUR 代币，然後在 Uniswap 上将 BEUR 換成其他代币，ALBT 價格下降到幾乎為零，這進一步引發了 ALBT 寶庫的清算。按照黑客攻擊時的代币價格，損失高達 8800 萬美元，但是由于流動性耗盡，事件實際損失在 185 萬美元左右。
漏洞分析：開年最大黑客事件，損失 8800 萬美元，加密協定 BonqDAO 被攻擊事件分析
6.3 Platypus Finance 安全事件
2 月 17 日，Avalanche 平台的 Platypus Finance 因函數檢查機制問題遭到攻擊，損失約 850 萬美元。然而攻擊者并沒有在合約中實作提現功能，導緻攻擊收益存放在攻擊合約内無法提取。
2 月 23 日，Platypus 表示，已經聯系了 Binance 并确認了黑客身份，并表示将至少向使用者償還 63% 的資金。
2 月 26 日，法國國家警察已經逮捕并傳喚了兩名攻擊 Platypus 的嫌疑人。
漏洞分析：閃電貸攻擊如何防範？Avalanche 鍊上 Platypus 項目損失 850 萬美元攻擊事件分析
6.4 Yearn Finance 安全事件
2023 年 4 月 13 日，Yearn Finance 的 yusdt 合約遭受黑客閃電貸攻擊，黑客獲利超 1000 萬美元。yUSDT 疑似在 1000 多天前部署時便被錯誤配置，錯誤地使用了 Fulcrum iUSDC 部署，而不是 Fulcrum iUSDT。
5 月 26 日，Yearn 攻擊者已将 4134 枚 ETH 轉入 Tornado Cash。
漏洞分析：被盜超 1000 萬美元，Yearn Finance 如何被黑客「盯上」？
七、反洗錢典型事件分析回顧
據區塊鍊安全審計公司 Beosin 旗下 Beosin EagleEye 安全風險監控、預警與阻斷平台監測顯示，Atomic Wallet 于今年 6 月初遭攻擊，據 Beosin 團隊統計，綜合鍊上已知的受害人報案資訊，此次攻擊造成的損失至少約 6700 萬美元。
我們将深入探讨這起黑客盜竊案的資金清洗細節，并使用Beosin KYT虛拟資産反洗錢合規和分析平台，對黑客的洗錢套路進行追蹤和分析。
事件綜述
根據 Beosin 團隊分析，此次被盜事件截止目前涉及的鍊包括 BTC、ETH、TRX 在内總共 21 條鍊。被盜資金主要集中在以太坊鍊。其中：
以太坊鍊
已查出被盜資金為 16262 個 ETH 價值的虛拟貨币，約 3000 萬美元。
波場鍊
波場鍊已知被盜資金為 251335387.3208 個 TRX 價值的虛拟貨币，約 1700 萬美元。
BTC 鍊
BTC 鍊已知被盜資金為 420.882 個 BTC 價值的虛拟貨币，折合 1260 萬美元。
BSC 鍊
BSC 鍊已知被盜資金為 40.206266 個 BNB 價值的虛拟貨币。
其餘鍊
XRP： 1676015 個 XRP，約 84 萬美元
LTC： 2839.873689 個 LTC，約 22 萬美元
DOGE： 800575.67369797 個 DOGE，約 5 萬美元
以太坊
在黑客對贓款的操作中，以太坊被攻擊鍊路上有兩種主要的方式：
1、通過合約進行發散後利用 Avalanche 跨鍊洗錢
根據 Beosin 團隊分析，黑客會首先将錢包中有價值的币統一換成公鍊的主币，再通過兩個合約來進行彙集。
該合約位址會通過兩層中轉将 ETH 打包成 WETH，再将 WETH 轉入用于将 ETH 發散的合約，通過最高 5 層中轉轉入 Avalanche 用于 Cross Bridge 的錢包位址中進行跨鍊操作，該跨鍊不使用合約進行，屬于 Avalanche 的内部記賬式交易類型。
以太坊鍊路簡圖如下：
全文閱讀：一場涉及至少 6000 萬美元的錢包被盜案，Beosin KYT 帶你拆穿黑客洗錢套路
八、被盜資産的資金流向分析
45.5% 的被盜資産得以追回
2023 年上半年，Beosin KYT虛拟資産反洗錢合規和分析平台顯示，約有 2.15 億美元的被盜資産得以追回，占所有被盜資産的 45.5% 。而在 2022 年，僅有 8% 的被盜資産被追回。2023 年資金追回的機會大幅提升。除了與黑客談判追回以外，依靠安全公司、執法機構、社群力量合力追回的案例也在增加。另外，全球監管體系的完善和執法力度的加大，也對黑客行為起到了警戒作用。
約有 1.13 億美元的被盜資産轉入了混币器。其中轉入 Tornado Cash 約 4538 萬美元，其他混币平台約 6814 萬美元。自 2022 年 8 月 Tornado Cash 受到美國 OFAC 制裁後，黑客使用 Tornado Cash 進行混币的總金額大幅減少，而其他混币平台的使用率明顯增加，如 FixedFloat、Sinbad 等。
九、項目審計情況分析
審計和未審計項目比例大緻相當，在 108 個被攻擊項目中，經過審計的項目為 51 個，未經審計的項目為 53 個，比例大緻相當。該比例與 2022 年情況也大體一緻。
在經過審計的 51 個項目裡，有 31 個項目（60% ）被攻擊原因來自合約漏洞利用。該比例高于去年的 45 %，整個審計市場的品質依舊不容樂觀。建議項目方一定要尋找專業的安全公司進行審計。
十、Rug Pull 分析
110 起 Rug Pull 事件卷走 7587 萬美元
2023 年上半年，Web3 領域共監測到主要 Rug Pull 事件 110 起，涉及金額約 7587 萬美元。
從金額來看， 14 起（12.7% ）Rug Pull 事件金額在 100 萬美元之上， 10 萬至 100 萬美元區間的事件共 41 起（37.3% ）， 10 萬美元以下的事件共 55 起（50% ）。
涉及金額最大的 Rug Pull 事件為 Fintoch 項目，該項目卷走了約 3160 萬美元的資産。
從鍊平台來看，BNB Chain 上發生了 80 起 Rug Pull 事件，涉及金額 5337 萬美元，遠遠高于其他的公鍊。
2023 上半年安全态勢總結
總體而言，Web3 領域黑客攻擊事件的總損失金額較 2022 年有了大幅度下降。2022 年上半年攻擊總損失約 19.1 億美元， 2022 年下半年約 16.9 億美元，而 2023 上半年該數值下降到了 4.7 億美元，并且其中約有 2.15 億美元的被盜資産得以追回。黑客攻擊呈現大幅放緩趨勢，促成這一現象的主要原因有：全球監管體系的逐漸完善、執法力度的加大、項目方安全意識的提升、混币器 Tornado Cash 被制裁、AML 反洗錢技術和程式的完善等。另外，也出現了依靠社群力量，通過鍊下情報對黑客身份進行定位并迫使黑客返還的案例。
即便黑客攻擊大幅放緩，合約安全問題依舊不能忽略。2023 年上半年，最頻發、造成損失最多的攻擊手法為合約漏洞利用。60 次合約漏洞事件造成了 2.64 億美元的損失，其中絕大多數被利用的漏洞是業務邏輯問題。一些較為複雜的業務邏輯漏洞，需要經驗豐富的專業審計公司才能發現。Beosin 審計團隊會對每一次黑客攻擊事件都會進行深入分析（推特@BeosinAlert)，確定将其中總結出的經驗和技術應用到項目審計過程中，以應對實際可能發生的黑客攻擊。
與黑客攻擊事件下降的趨勢相反的是，針對普通使用者的釣魚詐騙更加頻發。上半年出現了以 Venom Drainer 為代表的一系列錢包 Drainer 團夥，他們開發惡意工具包後進行售賣，購買者成功釣魚獲利後再與之進行分成。此類釣魚詐騙波及使用者面廣，單是 Venom Drainer 這一個團夥就産生了至少 1.5 萬個受害者。對于普通使用者而言，最好能夠經常關注安全公司的提醒，系統性地學習一些防釣魚防被盜知識，也可以安裝一些防釣魚插件、交易預執行工具等進行提醒（但不能完全依賴工具，加強自身安全意識永遠是第一位的）。