盘点：5月份，共发生典型安全事件32起以上，BSC链上10多个项目受到攻击，损失约3亿美元

成都连锁安全舆情监测数据显示，2021年5月，据不完全统计，整个区块链生态共发生典安全事件32起以上，整体安全风险等级为[高]。本月，虽然其他地区典安全事件有所缓解，但（DeFi）已成为典安全事件频发的“重灾区”，需要高度警惕；币安智能链首当其冲，成为黑客发动闪电贷款攻击的“主战场”。

多个BSC连锁项目中心化在5月份的“霹雳”，业内称之为“黑五月”。这也是DEFI历史上攻击频率**、损失**的一个月。据初步统计，事故造成的经济损失约3亿美元。典安全事件的频繁发生，也直接引发了各种虚拟资产货币的价格暴跌。对于投资者、项目各方乃至整个DeFi生态来说，今年5月是一个前所未有的“阴郁”月份。

以下是本月安全月报的详细内容。

交易所方面，发生了“1”类典安全事件

01

Hotbit交换遭到攻击者的攻击，导致一些基本服务瘫痪。Hotbit团队将关闭所有服务7天以上进行检查和恢复。

在DeFi方面，发生了“14起”典安全事件

01

5月2日，DeFi项目斯巴达遭遇闪贷攻击，造成3000万美元损失。

02

5月7日，valueDeFi遭到黑客攻击，ironfinance的一些池和产品受到攻击，导致steelp代币可能耗尽。

03

DeFi收入聚合器Rafi capital遭到黑客攻击，导致ETH损失超过1471万美元。

04

DeFi协议xtoken遭遇闪电贷款攻击，造成2450万美元损失。

05

5月16日，bean fi遭到袭击，损失近1100万美元。

06

5月19日，BSC**的贷款平台金星进行了大量清算。目前，已给金星平台造成超过1亿元的坏账。

07

5月20日，DeFi收入聚合器pancake bunny遭到了闪电贷款的攻击，wbnb和bunny损失了约4500万美元。

08

芬尼克索斯被怀疑受到袭击。结果，黑客在以太坊上投出3.23亿个fnx，价值600万美元；在BSC上投出6000万个fnx，价值160万美元。

09

陷入泥沼的金融官员说，黑客对泥沼代币合同进行了闪电贷款攻击，交易费用已被禁止。

十

汽车股票金融受到了快速贷款的冲击，货币价格暴跌，跌幅超过99%。

十一

梅林被怀疑遭到袭击。据悉，该项目似乎暂时中止了梅尔代币的铸造。

十二

Burgerswap被怀疑遭到了一次闪电贷款攻击，**了大约330万美元的汉堡。

十三

5月28日，julswap受到了闪电贷款的冲击，julb美元在短时间内下跌了95%以上。

十四

5月30日，结合多策略收益优化的AMM协议belt finance遭到闪电贷款的攻击。

Beosin评论：

5月份，BSC链上的项目频频遭遇“雷雨”，损失惨重，这足以给BSC、DeFi乃至整个区块链生态敲响警钟。通过典安全事件的共性特征不难发现，闪电贷款攻击是黑客最主要的攻击手段；而且攻击金额普遍较大，至少有6个项目的损失金额已经超过1000万美元。

在此，成都博信·安全团队郑重呼吁，后续DeFi项目方应重点防范与“闪电贷款”相关的攻击。DeFi项目方不应忽视安全审核、安全防护、安全加固等工作；必要时，可以借助第三方证券公司建立一套完善的、专业的风险控制措施。

在诈骗/加密诈骗方面，有“7”起典安全事件

01

GEC环保币多次被地方政府开除、查处。硬币价格大幅下跌后，再次被曝光涉嫌传销。

02

欺诈小组在SNL（星期六晚间直播）的活动诈骗了10万美元的虚拟资产。

03

有人假装是coingecko团队的成员欺骗了加密项目方，声称他们可以通过付费在coingecko平台上列出代币。

04

One plus联合创始人Carl Pei的Twitter账户遭到黑客攻击，并被用来推广加密诈骗。

05

西班牙国民警卫队的官方**账户在遭到疑似鱼叉式网络钓鱼攻击后，已被XRP欺诈者接管。该帐户的名称已更改为“波纹-XRP基金会”，一切都被删除。

06

货币监理署（OCC）最近就有关加密欺诈的电子邮件发出警告，称没有发送此类邮件，也没有为个人利益而持有任何资金。

07

Defi100是一个基于平衡计分卡（BSC）的去中心化财务协议，被曝光为欺诈行为。经营者欺骗了投资者，然后逃跑了。

Beosin评论：

本月，尽管[DeFi]的安全形势严峻，但来自[scam/encryption scam]的安全威胁不容忽视。成都链安·七星实验室注意到，最近出现了一些打着“DeFi”旗号的市场，实际上是各种基金项目的传销。作为投资者，一定要睁大眼睛，谨防打着“DeFi”旗号的传销！

在勒索软件/挖矿木马方面，出现了“3”起典的安全事件

01

网络安全软件公司Trend Micro发现了一种名为Panda的新恶意软件。研究人员说，加密钱包和银行账户一样，已经成为网络**的目标。

02

殖民地输油管道公司上周五向黑客支付了近500万美元的赎金，此前有报道称，该公司无意向黑客支付勒索，以帮助恢复美国输油管道的运营。

03

新西兰怀卡托卫生部证实，此前网络攻击中使用的勒索软件是“齐柏林飞艇”，卫生部长没有否认。

其他方面发生“7”起典安全事故

01

Mask network的ITO合同遭到机器人攻击，官方已将地址列入黑名单。

02

5月6日，官方hpool称，官网前端遭到DDoS攻击，暂时无**常访问，但挖矿服务不会受到影响。

03

Feilabs，feiloprotocol开发团队，发现并披露了一个合同漏洞，并立即中止了合同。目前，该漏洞尚未被利用，不会影响任何用户。

04

吉尔吉斯国家安全委员会（gknb）在首都比什凯克和崔府严厉打击非法挖矿活动，突袭并缴获非法虚拟资产挖矿设备2000套。

05

英国警方突袭了伯明翰附近的一个仓库，发现这是一个相当大的比特币地雷。比特币采煤机由非法与主电源分离的电力驱动，设备已被警方查获。

06

一名加利福尼亚男子承认经营未经许可的汇款业务、洗钱和未能维持有效的反洗钱方案，并被美利坚合众国没收价值约125万美元的比特币（18.4件）和以太坊（222.5件）。

07

以太坊核心开发人员在EIP-1559中发现了一个主要的漏洞，目前开发人员在EIP-1559中增加了四个检查，并修复了该漏洞。

针对区块链生态的安全现状，“成都联安”在此总结：

总体来看，5月份典安全事件较4月份明显增多。事件总数突破“30”关口，整体安全风险由[低]大幅上升至[高]。特别是在[DeFi]方面，一系列黑客攻击、频发的安全事件和超过3亿美元的资金损失，无疑对整个DeFi生态的安全秩序造成了灾难性的打击。

在严峻的形势下，成都博信安全团队注意到，pancakebunny被闪电贷款攻击后，其BSC链上的Merlin、AutomarkFinance等仿制盘相继被“占领”，这足以说明fork项目对原来的项目没有深入的了解，并且在更新代码的过程中引入了新的安全风险。

作为一种创新的金融模式，如何在“创新”与“安全”之间找到平衡点，实现兼顾与并行，需要广大DeFi项目开发者的深刻反思。对此，我们建议广大项目方切记做好施工中的相关安全防护，实时监控异常运行情况，立即发现，立即解决！作为用户，也要增强自身的安全意识，防范安全风险，避免经济损失。