beosin

ChainCatcher 消息，安全服務提供商 Beosin 發文稱，在分析了黑客發起初始攻擊的地址後，發現 Gas 費來自幣安。Beosin 建議 Bybit 直接聯繫趙長鵬和何一，以獲取黑客的 KYC 信息。

ChainCatcher 消息，Beosin Alert 在 X 平台發文披露，目前已收集了約 2800 個 DEXX 受害者地址，被盜交易超過 9000 筆，並對部分被盜地址的資金進行了分析，發現被盜資金仍然存放在黑客的地址中且尚未轉出，很可能是同一黑客所為，推測黑客根據受害者的代幣餘額進行轉帳並且按照價值降序進行了排列。

ChainCatcher 消息，据 Beosin Alert 監控及預警顯示，截止 9 月 25 日，2024 年Q3 Web3 領域因黑客攻擊、釣魚詐騙和項方 Rug Pull 造成的總損失達到了7.3億美元。其中主要攻擊事件 23 起，總損失金額約 4.3 億美元；項方 Rug Pull 事件 3 起，總損失約 424 萬美元；釣魚詐騙總損失金額約 2.95 億美元。從被攻擊項目類型來看，損失最高的項目類型為 CEX，3 次針對 CEX 的攻擊共造成了約 2.97 億美元的損失，約占所有攻擊損失金額的 40.6%。從各鏈損失金額來看，Ethereum 依舊為損失金額最高、攻擊事件最多的鏈。21 次 Ethereum 上的攻擊與釣魚事件造成了 3.48 億美元的損失，約占總損失的 47.6%。從攻擊手法來看，Q3 共發生 5 次私鑰洩露事件，造成損失達到了 3.05 億美元，約占總攻擊損失金額的 41.7%，是占比最高的攻擊類型。從資金流向來看，僅約有 1690 萬美元被盜資金被凍結或追回。絕大部分（約 78.9%）被盜資金仍存儲在攻擊者的鏈上地址。和 2023 年同期相比，2024 年 Q3 因黑客攻擊、釣魚詐騙、項方 Rug Pull 造成的總損失略有下降，達到了 7.3億美元（ 2023 年Q3 這一數字為 8.89 億美元）。2024 年 Q3 幣價下跌等因素對總金額的減少有一定的影響，但總體而言，Web3 安全領域形勢依舊不容樂觀。Q3 的二十多起攻擊事件中，依然有 18 起來自合約漏洞利用，建議項方在上線前尋求專業的安全公司進行審計。

ChainCatcher 消息，据 Beosin Alert 監測顯示，Bedrock 項目合約漏洞遭到攻擊，導致約 170 萬美元資產被盜。據分析，此次攻擊行為的根本原因是項目中的 mint 函數會將用戶抵押的 ETH 鑄造為相同數量的 uniBTC。並未考慮兩者之間的價格差。攻擊者已將所有代幣已被兌換為 ETH。

ChainCatcher 消息，据 Beosin Alert 監測顯示，Indodax 交易所遭到黑客攻擊，黑客獲利約 1700 萬美元的加密資產。黑客攻擊手法：攻擊者通過未知手段獲取了 Indodax 交易所熱錢包的訪問權限，並利用該權限在以太坊、Polygon、和 Optimism 鏈上轉移大量資產至多個地址，其中大部分資產在以太坊鏈上兌換為 ETH。受影響的區塊鏈：以太坊、Polygon、Optimism

ChainCatcher 消息，据 Beosin Alert 監測顯示，建立在 Pendle 上的 DeFi 協議 Penpie 遭到黑客攻擊，被盜取約 2700 萬美元的加密資產，Beosin 對本次事件簡析如下：攻擊者利用 market 合約中 claimRewards 函數重入質押以提高 staking 合約餘額，再將 taking 合約多餘的代幣和質押資產提取以獲利1、攻擊者首先創建攻擊合約，並通過官方的 factory 構建的對應的 market 合約2、調用 staking 合約的 batchHarvestMarketRewards 函數對該 market 進行獎勵更新3、更新獎勵時會回調攻擊合約 claimRewards 函數，由此函數進行重入將閃電貸獲取的資產進行質押，使得 staking 合約的資產形成數量差，並將多餘的提取出來4、攻擊者將質押的資產提取，並歸還閃電貸進行獲利

ChainCatcher 消息，据區塊鏈安全審計公司 Beosin Alert 監測顯示，Ronin Bridge 項目出現異常提取跨鏈資產的行為。据 Beosin 安全團隊分析，此次異常行為的根本原因在於項目方升級合約時，未正常初始化配置跨鏈交易確認所需的 operator 權重，導致合約中的 minimumVoteWeight 參數為零，從而使得任何人的簽名都能通過跨鏈驗證。目前，Ronin bridge 已經流失 3,996 個 ETH，資金存放在 0xc6a 開頭地址 (該地址是 MEV bot，故推測可能是白帽行為)。Beosin 目前正與項目方合作處理此次事件。

ChainCatcher 消息，据區塊鏈安全審計公司 Beosin Alert 監測顯示，2024 年 7 月，各類安全事件損失金額較 6 月大幅增長。2024 年 7 月發生較典型安全事件超 20 起，因黑客攻擊、釣魚詐騙和 Rug Pull 造成的總損失金額達 2.86 億美元，較 6 月增長約 56.3%。其中攻擊事件約 2.71 億美元，增長約 92.2%；釣魚詐騙事件約 1210 萬美元，下降約 67.6%；Rug Pull 事件約 358 萬美元，下降約 13.1%。7 月黑客攻擊最大事件來自於印度交易所 WazirX，損失約 2.3 億美元，占到了當月攻擊事件金額的 85%。第二大攻擊事件是 LI.FI 因合約漏洞損失約 1160 萬美元。本月依舊發生多起超過百萬美元的釣魚詐騙和 rug pull 事件，用戶還需提高警惕。

ChainCatcher 消息，据 Beosin Alert 監控預警發現，Terra 鏈因緊急升級而暫停。似乎有人利用 IBC 漏洞在 Terra 鏈上鑄造多個代幣，包括 ASTRO 。Beosin 安全團隊分析發現攻擊者在 Terra 上實例化合約後，利用 ibc-hooks 中的超時回調的重入漏洞，已經轉移了大約 6000 萬枚 ASTRO， 350 萬枚 USDC，50 萬枚 USDT 和 2.7 枚 BTC，合計價值約528萬美元。這個漏洞在今年 4 月已經披露，屬於是 cosmos 基礎庫中的漏洞，但 Terra 沒有修復。

ChainCatcher 消息，据 Beosin Alert 監控預警發現印度交易所 wazirx 被攻擊，攻擊者獲取到交易所多簽錢包管理員的簽名數據，修改錢包的邏輯合約，讓錢包執行錯誤的邏輯，來盜取資產。攻擊者地址：0x6eedf92fb92dd68a270c3205e96dccc527728066被攻擊地址：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4基於攻擊者的攻擊行為，推測原因此多簽錢包的管理員私鑰洩露，Beosin 將攻擊原因簡析如下：1、攻擊者部署攻擊合約：0x27fd43babfbe83a81d14665b1a6fb8030a60c9b4。該合約的功能是提取本合約指定的代幣資產2、攻擊者獲取到 wazirx 多簽錢包管理員的簽名數據，將錢包的邏輯合約修改為已經部署好的攻擊合約。對應交易為：https://etherscan.io/tx/0x48164d3adbab78c2cb9876f6e17f88e321097fcd14cadd57556866e4ef3e185d3、攻擊者向 wazirx 多簽錢包提交提取代幣交易，由於代理模式的機制，錢包合約會利用 delegatecall 調用攻擊合約的相關函數，轉走錢包代幣。被盜資金部分的流線圖，目前來看，黑客已經將部分資金轉移進入 Changenow 與 Binance 交易所。

ChainCatcher 消息，据 Beosin Alert 監控預警發現，跨鏈協議 LI.FI 遭受攻擊，主要是攻擊者利用項目合約的 call 注入將授權給合約的用戶資產轉移走，Beosin Trace 對被盜資金進行追蹤發現，損失金額包括 633.59 萬 USDT、319.19 萬 USDC、16.95 萬 DAI，約 1000 萬美元。攻擊發生在 ETH 以及 Arbitrum 這兩條鏈上，目前大部分資金轉為 ETH 暫無新的動向，Beosin 已將黑客相關地址加入 KYT 黑地址庫，後續將持續保持追蹤關注。

ChainCatcher 消息，据 Beosin Alert 監控預警發現，跨鏈協議 LI.FI 遭受攻擊，Beosin 安全團隊發現漏洞原因是攻擊者利用項目合約的 call 注入將授權給合約的用戶資產轉移走。LI.FI 項目合約存在一個 depositToGasZipERC20 函數，可將指定代幣兌換為平台幣並存入 GasZip 合約，但是在兌換邏輯處的代碼未對 call 調用的數據進行限制，導致攻擊者可利用此函數進行 call 注入攻擊，提取走給合約授權用戶的資產。攻擊者地址：0x8B3Cb6Bf982798fba233Bca56749e22EEc42DcF3被攻擊合約：0x1231DEB6f5749EF6cE6943a275A1D3E7486F4EaE截至目前，受損失金額包括 633.59 萬USDT、319.19 萬USDC、16.95 萬 DAI，約 1000 萬美元。Beosin Trace 正在對被盜資金進行追蹤。

ChainCatcher 消息，据 Beosin Alert 監控及預警顯示，2024 年上半年 Web3 領域因黑客攻擊、釣魚詐騙和項方 Rug Pull 造成的總損失達到了 15.4 億美元。其中主要攻擊事件 78 起，有 43 起來自合約漏洞利用，總損失金額約 11.93 億美元；項方 Rug Pull 事件 64 起，總損失約 1.19 億美元；釣魚詐騙總損失金額約 2.32 億美元。2024 上半年共發生 3 起損失金額超過 1 億美元的安全事件。5 月的總損失金額達到了 4.5 億美元，為 2024 年上半年損失金額最高的月份。從被攻擊項目類型來看，損失最高的項目類型為 CEX，4 次針對 CEX 的攻擊共造成了約 3.92 億美元的損失，占所有攻擊損失金額的 32.8%。從各鏈損失金額來看，Ethereum 依舊為損失金額最高、攻擊事件最多的鏈。32 次 Ethereum 上的攻擊事件造成了 4.7 億美元的損失，占到了總損失的 39.4%。從攻擊手法來看，上半年共發生 22 次私鑰洩露事件，造成損失達到了 8.94 億美元，約占總攻擊損失金額的 75%，是占比最高的攻擊類型。從資金流向來看，約有 4.7 億美元（39.3%）被盜資金被凍結或追回。該比例較 2023 年有了顯著提升。

ChainCatcher 消息，据 Beosin Alert 監測，DMM Bitcoin 黑客於 6 月 12 日將 500 枚 BTC （約合 3400 萬美元）轉移到兩個新地址： 300 枚 BTC 轉至 bc1qc6 開頭地址，200 枚 BTC 轉至 bc1qln 開頭地址。

ChainCatcher 消息，据 Beosin Alert 監測，日本加密交易平台 DMM Bitcoin 被盜的 4502.9 枚 BTC（約 3.059 億美元）被轉至 1B6rJRfjTXwEy36SCs5zofGMmdv2kdZw7P 地址後，目前已分發到 10 個地址。

ChainCatcher 消息，据區塊鏈安全審計公司 Beosin Alert 監測顯示，2024 年 5 月，各類安全事件損失金額較 4 月有所上漲。2024 年 5 月發生較典型安全事件超27起，因黑客攻擊、釣魚詐騙和 Rug Pull 造成的總損失金額達 1.54 億美元，較 4 月增長約 52.5%。其中攻擊事件約 5451 萬美元，增長約 3.7%；釣魚詐騙事件約 9740 萬美元，增長約 754%；Rug Pull 事件約 204 萬美元，下降約 94.5%。本月發生 2 起損失超過千萬美元的黑客攻擊事件：遊戲平台 Gala Games 因私鑰洩露損失 2250 萬美元、Sonne Finance 因合約漏洞損失 2000 萬美元。本月釣魚詐騙事件大幅增加，發生了多起損失金額超過百萬美元的釣魚事件，包括 1 起損失金額達 7200 萬美元的地址中毒詐騙。本月加密犯罪案件持續增加，多起犯罪涉案金額超過了 1 億美元。

ChainCatcher 消息，据 Beosin Alert 監控預警發現， OP 鏈上的 Sonne Finance 協議遭到黑客閃電貸攻擊，攻擊者分多次攻擊，共造成約 2000 萬美元的損失。Beosin 安全團隊分析發現攻擊者透過閃電貸借入 VELO Token，並透過 transfer 發送給 soVELO 合約，多次創建新合約，在新合約中借貸 Sonne Finance 協議的各種代幣，並贖回 VELO Token 代幣，這樣反覆操作，將所有資金全部盜空。目前攻擊者將資金主要保存在以下地址：0x02FA2625825917E9b1F8346a465dE1bBC150C5B90x5D0D99e9886581ff8fCB01F35804317f5eD80BBb0xae4A7cDe7C99fb98B0D5fA414aa40F0300531F43Beosin Trace 將繼續監測被盜資金的動向。

ChainCatcher 消息，据 Beosin Alert 監控及預警顯示，2024 年第一季度 Web3 領域因黑客攻擊、釣魚詐騙和項方 Rug Pull 造成的總損失達到了 7.78 億美元。其中主要攻擊事件 39 起，總損失金額約 6.17 億美元；項方 Rug Pull 事件 43 起，總損失約 7550 萬美元；釣魚詐騙總損失金額約 8624 萬美元。2024 年第一季度總損失約 7.78 億美元，同比增長約 126%，環比增長約 72%。其中黑客攻擊事件損失金額高於 2023 年的任何一個季度。2 月的總損失金額達到了 4.22 億美元，為 2024 年第一季度損失金額最高的月份。從被攻擊項目類型來看，遊戲平台首次成為損失金額最高的項目類型。6 次針對 Web3 遊戲平台的攻擊共造成了 3.65 億美元的損失，占所有攻擊損失金額的 59%。從各鏈損失金額來看，Ethereum 依舊為損失金額最高、攻擊事件最多的鏈。18 次 Ethereum 上的攻擊事件造成了 3.42 億美元的損失，占到了總損失的 55.4%。從攻擊手法來看，本季度共發生 13 次私鑰洩露事件，造成損失達到了 4.58 億美元，占到了總攻擊損失金額的 74.3%，是占比最高的攻擊類型。Beosin KYT 反洗錢分析平台監測，從資金流向來看，本季度大部分被盜資產被凍結和追回。約有 3.03 億美元（49.2%）被盜資金被凍結，7945 萬美元（12.9%）被盜資金被追回。從審計情況來看，被攻擊的項目中，經過審計的項方比例有所增加。

ChainCatcher 消息，据區塊鏈安全審計公司 Beosin KYT 反洗錢分析平台監測顯示，2024 年 2 月，各類安全事件損失金額較 1 月大幅增加。2024 年 2 月發生較典型安全事件超 19 起，因黑客攻擊、釣魚詐騙和 Rug Pull 造成的總損失金額達 4.22 億美元，較 1 月上漲約 102%。其中攻擊事件約 3.47 億美元，增長約 110%；釣魚詐騙事件約 1608 萬美元，下降約 52%；Rug Pull 事件約 5938 萬美元，增長約 440%。2 月最大的攻擊事件為加密遊戲平台 PlayDapp 因私鑰洩露遭到的攻擊，損失達 2.9 億美元，也是今年以來損失最高的安全事件。其餘超過千萬美元的事件還包括：中心化交易所 FixedFloat 遭受攻擊，損失 2610 萬美元；Axie Infinity 聯合創始人 Jihoz.ron 個人地址因私鑰洩露損失約 1000 萬美元。此外，香港交易所 Bitforex 疑似發生 Rug Pull，熱錢包異常流出 5650 萬美元。

ChainCatcher 消息，据 Beosin KYT 反洗錢分析平台顯示，Ronin 鏈上 0x121ad060686848b196df8ca5c5e24722efe57115，jihoz.ron (0xa09a9b6f90ab23fcdcd6c3d087c1dfb65dddfb05) 地址疑似私鑰洩露，多種代幣被轉出到 0x39f817976c51a91b60145febad81067e69713105 地址後，兌換為ETH並跨鏈至以太坊,隨後直接流入 Tornado.cash。