Fairyproof ：2023 年 Q2 区块链生态安全季报

综述

2023年第二季度，加密市场整体上表现得波澜不惊。生态中的安全事故依旧频繁发生。在这个季度约有1.08亿美元的加密资产在各类安全事故中蒙受损失。

Fairyproof研究了第二季度公开报道的186起典型案例，对案例进行了统计、分析，并探讨了这些事件所反映的安全生态中的特性以及用户可以采取的相关防范措施。

背景介绍

在详细呈现Fairyproof的研报结果之前，有必要对本报告中的相关术语进行解释、说明。

CCBS

CCBS指代“中心化加密资产或区块链服务机构”。它通常指人为运作管理的非链上服务平台，其核心技术主要依赖传统的中心化技术，其日常运维活动主要为链下活动。传统的加密资产交易所（如Binance)、加密资产发行承兑平台（如Tether）即为此类典型。

闪电贷（FLASHLOAN）

闪电贷是黑客在攻击以太坊虚拟机平台上智能合约的一种常见和流行的方式。闪电贷是知名DeFi应用AAVE[1]团队发明的一种合约调用方式。这种合约调用让用户无需任何抵押物便可以直接从支持这种功能的DeFi应用中借出加密资产，只要用户在一个区块交易内归还该资产即可使该交易有效[2]。起初这个功能的发明是为了给DeFi用户更灵活、便利的手段进行各项链上的金融活动。但后来，闪电贷因其灵活性高使得其使用得最多的场景变成了黑客借出ERC-20[3]代币然后用其进行攻击。在发起一笔闪电贷之前，用户需要将借出（资产）和归还（资产、利息及相关手续费）的逻辑清晰地在一个合约中描述，然后调用该合约发起闪电贷。

跨链桥（CROSS-CHAIN BRIDGE）

跨链桥是连结多个独立区块链的一种基础设施，它让部署于不同区块链的代币在各个区块链之间相互流通。

随着越来越多区块链有了自己的生态、应用和加密资产，这些应用和资产对跨区块链通信和交易的需求显著增长。这也使得跨链桥成为黑客眼中热门的攻击对象。

报告重点

Fairyproof详细研究了2023年第二季度发生的186起典型安全事件，在本报告中对这些事件造成的损失金额、成因等各种要素进行了统计分析，并给出了相应的防范建议和措施。

2023年第二季安全事件的统计及分析

Fairyproof研究团队详细研究了2023年第二季度较为突出的186起安全事件，从遭受攻击的目标和造成攻击的根源两方面列举了统计结果并对其进行了分析研究。

这186起安全事件造成的加密资产损失总额达1.08亿美元，Tradingview显示的主流加密资产总值达11562亿美元。损失资产占总市值的比例为0.01%。

基于受害对象划分的安全事故

Fairyproof研究的安全事件按其受害对象分可以分为以下四类：

中心化加密资产或区块链服务机构（CCBS，下文所指CCBS即为此概念）
区块链（Blockchains）
去中心化应用（dApps）
跨链桥（Cross-chain Bridges）

本报告所指的CCBS安全事件是指受到攻击或损害的对象是CCBS系统。在这些事件中，CCBS所保管的资产被盗或运作的服务被迫中断。

区块链安全事件是指区块链主网、侧链或依附区块链主网的第二层扩展系统受到攻击或损害。通常在这些事件中，黑客从系统内、系统外或者两方面都发起攻击，导致系统软件或硬件失常，资产损失。

dApp安全事件是指dApp受到攻击而无法正常工作，从而使黑客有机会盗取dApp中管理的加密资产。

跨链桥安全事件是指跨链桥受到攻击，导致其无法正常工作，甚至导致其经手交易的加密资产被盗。

Fairyproof对总共186起事件按上述四类进行了划分，其比例分布图如下所示：

区块链安全事件

涉及区块链的安全事件可以进一步细分为以下三类：

区块链主网（Blockchain mainnets）
侧链（Side chains）
第二层扩展系统（Layer 2 solutions）

区块链主网也被称为Layer 1，它是独立的区块链，有自己的网络、协议、共识和验证者。区块链主网可以验证交易、数据和区块，所有这些验证工作都由自己的验证者完成并最终取得一致性。比特币和以太坊就是典型的区块链主网。

侧链是与区块链主网并行运作的一条单独的区块链。它也有自己的共识和验证者，但是它会以某种方式（如双向锚定[4]）和区块链主网连结，

第二层扩展系统是依赖于区块链主网的系统，它需要区块链主网提供安全和最终一致性[5]。它主要为了解决区块链主网的可扩展性，能以更低的费用、更低的价格处理交易。自从2021年以来，依附于以太坊的第二层扩展系统有了飞速地发展。

侧链和第二层扩展系统都是为了解决区块链主网的可扩展性。两者主要的区别在于，侧链不依赖区块链主网提供安全性和一致性，但第二层扩展系统却需要。

2023年第二季度总共有14起与区块链有关的安全事件。下图展示了区块链主网、侧链和第二层扩展系统各所占的比例。

由上图可知，区块链主网相关的安全事件和第二层扩展系统相关的安全事件的数量占总数的比例分别为92.86% （13起）和7.14%（1起）。没有典型的侧链安全事件。第二层扩展系统安全事件涉及的系统有zkLink[6]，区块链主网安全事件涉及的主网有CoreDAO[7]，Radix[8]，Manta[9]，LayerZero[10]和BNB Chain[11]等。

DAPP安全事件

在157起涉及dApps的安全事件中，有7起是跑路，2起被连累，148起直接被攻击。直接对dApp的攻击通常会涉及三个方面：Dapp的前端、后台和智能合约。因此，我们将148起直接被攻击的事件分为下列三类：

dApp前端
dApp后台
dApp合约

在dApp前端受攻击的事件中，黑客主要通过前端漏洞发起攻击，盗取资产或瘫痪其服务。

在dApp后台受攻击的事件中，黑客主要通过后台漏洞发起攻击，比如劫持后台和合约的通信，劫持资产或瘫痪服务。

在dApp合约受攻击的事件中，黑客主要通过合约漏洞发起攻击，盗取资产或瘫痪其服务。

下图展示了这三个类别受攻击事件的比例：

由上图所示，合约、后台和前端受攻击的事件比例分别为25%、0%和75%。在总共148起事件中，111起为前端受攻击，37起为合约受攻击。

我们进一步研究了各类事件所造成的加密资产损失金额。其中合约受攻击导致的损失和前端受攻击所导致的损失分别为3270万美元和3511万美元，两者所占总损失金额的比分别为48.22%和51.78%，如下图所示：

在众多合约漏洞中，逻辑缺陷、私钥泄露、闪电贷攻击、重入攻击为典型的漏洞。

我们研究了37起涉及合约直接受到攻击的安全事件，得到下列比例图：

上图所示，逻辑缺陷导致合约安全事件占比最高。逻辑缺陷中通常包括缺少参数验证、缺少权限验证等。逻辑缺陷导致的安全事件数为15起。

下图展示了各个漏洞造成的损失金额比：

逻辑缺陷造成的损失金额占比最高。15起闪电贷事件总共造成了2400万美元的损失，占损失总金额的73.42%。

基于成因划分的安全事故

基于造成区块链安全事故的成因，我们将事故分为三类：

由黑客攻击所致
跑路
其它

我们的研究结果如下图所示：

由上图所示，黑客攻击和跑路导致的安全事故分别占比为96.24%（179起）和3.76%（7起）。

我们研究了这些成因所造成的损失，如下图所示：

由上图所示，黑客攻击和跑路导致的损失金额分别占比97.49%和2.51%，前者导致了1.05亿美元的损失，后者导致了271万美元的损失。这表明2023年第二季度，黑客攻击仍然是行业安全面临的主要威胁。

黑客攻击事件

我们研究了黑客攻击事件，如下图所示：

由上图所示，黑客攻击dApp、区块链、CCBS和跨链桥的事件占比分别为85.23%（150起）、7.95%（14）、4.55%（8起）和2.27%（4）。

我们研究了各类事件所导致的损失金额，如下图所示：

黑客对dApp和CCBS攻击所导致的资产损失占比分别为65.61%和34.39%，具体的损失金额分别为6891万美元和3612万美元。其它安全事件没有导致明显的损失金额。

跑路事件

2023年第二季度发生的典型跑路事件都是dApp项目。总共7起跑路事件造成的损失金额达271万美元。这个损失金额相比黑客攻击造成的损失金额规模要小得多。

研究发现

从我们的统计数据来看，2023年第二季度，黑客最偏爱攻击的目标仍然是dApp项目，对dApp的攻击事件远超其它任何对象，攻击数占总数的85.23%，损失金额占总损失金额的65.61%。在所有的攻击事件中，最严重的是对Jimbos Protocol[12]的攻击。

对整个区块链生态来说，黑客仍然是最大的安全威胁，无论从其造成的安全事件数量还是从其造成的资产损失来看都是如此，由黑客攻击造成的安全事件数量占整个安全事件数量的比例超过96.24%，远超跑路事件对生态造成的威胁。

一个典型的dApp包括三部分：前端、后台和智能合约。当黑客攻击一个dApp时，会攻击其中一部分或同时攻击多个部分。根据我们的统计数据，对dApp前端的攻击在数量上远超对合约的攻击，但对智能合约的攻击所造成的损失金额则远超对前端的攻击。这表明智能合约隐患仍然是dApp安全最大的隐患。

2023年第二季度典型的跑路事件都发生在dApp项目上。

在智能合约受到黑客攻击的事件中，下列三个类别的原因所引发的攻击事件数量排名前三：

第一位：逻辑缺陷

第二位：闪电贷

按照损失金额来看，逻辑缺陷所引发的攻击造成的资产损失金额高居榜首，远超其它类别。

防范安全事故的实践方案和措施

本节，我们将根据2023年第二季度所发生的安全事故的特点总结一些帮助区块链开发者和用户管理及防范区块链风险的方案和措施。我们建议无论是区块链开发者还是用户都积极地在平时的操作和工作中尽可能落实和实践这些方案及措施，最大限度保护项目安全和加密资产安全。

注：“区块链开发者”既指区块链项目本身的开发工程师，也指和区块链系统相关或其延申系统（如加密资产等）的开发者。“区块链用户”是指所有参与到区块链系统活动（比如管理、运作、维护等）或加密资产交易等的用户。

对区块链开发者

尽管在第二季度中，没有典型涉及第二层扩展系统的安全事件，但第二层扩展系统的安全依旧值得重视。因为接下来第二层扩展方案的发展和落地将会持续是整个生态的热点和重点，对其方案安全性的研究将是业界面临的重大挑战。

在区块链应用中，当项目部署并稳定运行一段时间后，将项目中掌控关键操作的权限转移到多签钱包或者DAO组织来进行管理是非常有必要的步骤。

当黑客发现智能合约的漏洞时，往往会借助闪电贷对合约进行攻击。这些可能被利用的漏洞通常包括重入漏洞、逻辑缺陷（比如缺乏权限验证、错误的价格算法）等。严谨防范和处理这些漏洞对智能合约开发者而言时刻需要引起高度重视，甚至需要排在重要性的首位。

我们的统计数据还显示越来越多的黑客会通过社交媒体软件（如Discord、Twitter等）发起钓鱼攻击。这个现象贯穿了整个2022年并持续到2023年第二季度。不少用户在其中遭受了损失。项目方需要对其运作的社交媒体实施严格、周全的管理，部署相应的安全方案保证其社交媒体运作的安全和稳定，防范被黑客利用。

区块链用户

越来越多用户开始参与各类区块链生态的活动，并持有各类区块链生态的资产。在这个过程中，跨链交易活动也再迅猛增长。当用户参与跨链交易时，用户需要和跨链桥进行交互，而跨链桥却是黑客经常关注的攻击目标。因此当用户在发起跨链交易前，需要详细调查和了解其所使用的跨链桥的安全状况和运营状况，确保跨链桥的安全、稳定、可靠。

当用户和dApp进行交互时，必须高度关注其智能合约的质量和安全，同时也需要关注dApp前端的安全。对前端显现的一些不明来历、高度存疑的信息、提示、对话等要小心处理，不要随意点击或跟随其指引进行操作。

我们强烈建议用户在和任何区块链项目交互前或投资区块链项目前，要仔细检查并阅读该项目的审计报告。对没有审计报告或报告可疑的项目，要谨慎参与。

我们建议用户尽量使用冷钱包或多签钱包管理大额资产或不用于频繁交易的资产。时刻小心热钱包的运作安全，并确保安装热钱包的硬件平台本身是安全、可靠和稳定的。

用户需要对区块链项目的团队背景进行一定程度的调查和了解。对团队背景模糊、信用缺失的团队要小心。对这类项目要小心其可能发生的跑路风险。对使用较为频繁的中心化交易所，用户更要关注其背景和信用，尽可能从多个第三方数据源查证这些交易所的背景、信息、数据，确保交易所能够长久持续的安全运作。