OKLink2月安全月报| 2起典型漏洞攻击案例分析

在本月初我们发布的2024年2月安全月报中提到，2月全网累计造成损失约1.03亿美元。其中钓鱼诈骗事件损失占比11.76%。
OKLink提醒大家，在参与Web3项目时，应当仔细调研项目的真实性、可靠性，提升对钓鱼网站和风险项目的甄别能力，降低投资的风险。

官方社媒遭受诈骗与钓鱼事件共计37起，其损失占比11.76%。其主要集中在X「Twitter」、Discord等渠道。REKT 和 RugPull 事件损失分别占比7.33%和5.34%，钓鱼诈骗事件损失占比11.76%，其他：75.57%。本月REKT损失最大安全事件为：2月28日，质押协议senecaUSD因为代码逻辑漏洞遭受攻击，损失约650万美金。截至发稿，攻击者已经归还价值约530万美金的资产。本月RugPull损失最大安全事件为：2024年2月29日，Shido项目发生RugPull造成约210万美金损失。其他（包括compromised key 、社工攻击等）闪电网络项目FixedFloat疑似私钥泄漏，导致价值约 2100万美金的BTC和价值约480万美金的ETH被盗。
案例一

Seneca
2月28日，Seneca协议遭受了一个典型的批准漏洞攻击，黑客能够执行任意外部调用来窃取用户授予协议的资金（约为650万美元）。

需要撤销授权的地址：

以太坊：0xbc83f2711d0749d7454e4a9d53d8594df0377c05

Arbitrum：0x2d99e1116e73110b88c468189aa6af8bb4675ec9

目前，黑客已将大部分被盗资金转移到以下两个地址。

0x5217c6923a4eFC5bcF53D9A30Ec4B0089f080ed0

0xe83B072433F025Ef06b73E0CAa3095133E7c5bd0

案例二

Blueberry Protocol Foundation
2月23日，Blueberry Protocol Foundation经历了一次重大的安全漏洞，导致损失约457 ETH（约130万美元）。
主要的漏洞源自于一个不完备的价格预言机执行，未能准确调整基础资产的小数精度。有趣的是，大部分利润给了MEV构建者，而前置抢先交易机器人（0xc0ffeebabe5d496b2dde509f9fa189c25cf29671）仅获得409美元。交易链接：https://www.oklink.com/eth/tx/0xf0464b01d962f714eee9d4392b2494524d0e10ce3eb3723873afd1346b8b06e4当前价格预言机对所有基础资产返回相同的18位小数位数的价格。

以下为正确案例，其中对基础资产的小数精度进行了准确调整：

OKLink安全专家小贴士

本月出现了较多因为私钥泄漏等情况造成的热钱包被攻击或者项目权限被控制的情况，钓鱼和REKT和RugPull事件损失金额较上月有所下降。

本月安全事件损失金额与上月基本持平，出现了较多因为私钥泄漏等情况造成的热钱包被攻击或者项目权限被控制的情况，我们建议项目方在项目上线之前进行充分的测试和合约审计，并采用完善的流程管理项目相关私钥，以免为黑客带来可乘之机。

注：PlayDapp账面损失价值2.9亿美金PLA代币，实际流动性不支持这么大额度的套现，链上分析发现实际获利较小（数十万美金）且难以准确估算，因此仅统计第一次31M损失。

【免责声明】本文不构成投资建议，用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。