Peckshield：7月份共发生32起安全事件，虚拟货币欺诈案件猖獗

根据peckshield情境感知平台数据，过去一个月，整个区块链生态系统共发生32起突出安全事件，危害等级为“中级”，涉及5起DeFi事件、2起钱包安全事件、3起公链安全事件、2起交易相关安全事件，敲诈4起，诈骗16起。

Defi安全

7月份共发生5起与DeFi有关的安全事故，具体如下：

1） 加密货币项目ETHer（VETH）受到闪贷攻击，其Uniswap资金池被919299 VETH耗尽，价值约90万美元，整个攻击成本仅为0.9以太，约200美元。

2） **区块链安全研究人员孙善友（Sam sun）在一次小组讨论中表示，他似乎发现了一种**行为渴望财务长江三角洲基金池法。渴望财务官方回应称，问题已经解决，但仍提示用户暂时不要投资。7月26日，渴望财务宣布更新V2版本将增加USDC合同的资金池，但V2版本尚未完全部署，仍处于试验测试阶段。这位官员还表示，该合同仍处于试验阶段，风险较高，因此建议不要立即投资。

3） Samczsun在渴望财务在新部署的yault中发现了一个漏洞，该漏洞是由flashloan中的滑动点造成的。

4） 网络安全公司Openzeppelin发布了一份关于compound的open预言机与Uniswap 2集成的审计报告。有人指出，开放预言机的目的是让受信任的记者公布一系列资产价格链。这些价格将基于Uniswap 2的市场价格。发布价格的人只能在一定程度上偏离Uniswap V2的价格（由部署者决定），这会大大限制记者操纵预言机的权力。

5） dedi门户网站Defiprime发现了***的DeFi诈骗：Uniswap上的伪造代币列表。欺诈者试图在目标协议真正引入加密货币之前，在Uniswap上列出“官方”协议代币。Defiprime发现了至少六个被这些欺诈者锁定的协议：Uniswap、tornado-cash、bzrx（支点）、cure、dydx和1inch。有的甚至被骗了。

Peckshield点评：随着DeFi项目功能越来越多样化，安全隐患逐渐暴露出来。由于DeFi项目与用户资产关系密切，其安全问题十分严重。由于每个项目都是由不同的团队开发的，他们对产品的设计和实现的理解是有限的，因此集成产品在与第三方平台交互的过程中很可能遇到安全问题，进而遭受敌人的侵害。Peckshield在此建议，在上线前，DeFi项目方应尽量找一个对DeFi各方面产品设计进行深入研究的团队，进行全面的安全审计，以避免潜在的安全风险。

数字钱包安全

7月份发生2起钱包安全事件：

1） 加密货币钱包服务公司Zengo表示，他们在ledger、BRD和edge等市场上的一些主流钱包中发现了一个漏洞，攻击者可以利用这个漏洞欺骗用户，让他们以为自己收到了比特币，但他们没有收到。Zengo将该漏洞命名为“bigspender”，并将该攻击定义为“双重支出攻击”

2） 研究人员发现了一种新的特洛伊木马，适用于在MacOS上使用交易程序的交易员。该木马利用恶意软件gmera，被整合到看似无毒的应用程序中，然后从用户钱包中窃取代币。

最接近数字资产管理的地方是peekshield。虽然冷钱包是离线钱包，与网络断开连接，但也存在物理攻击和**的风险。对于网络钱包等热门钱包，用户应警惕网络钓鱼和恶意代码注入。

公链安全

七月份发生了三起与公链有关的安全事故

1） 7月3日，cryptoscope团队在raencoin（RVN）区块链中发现了一个漏洞。在RVN的首席开发团队确认后，发布了一个紧急更新。据悉，此漏洞可生成额外的RVN，但不会影响或控制现有的RVN资产。由于该漏洞造成的RVN总量比原计划增加1.5%，且该漏洞产生的RVN已经进入市场，因此不可能进行回滚等操作。

2） Polkadot的联合创始人Gain wood说，Avalanche协议类似于一个中心化的宇宙，其中选择的重叠验证器充当子网安全。这将导致整个系统中各个环节的安全性出现极大的不平衡。交叉碎片攻击是可能的，因为来自一个（低安全性）链的消息会导致另一个（更安全）子网的状态转换。这样，整个网络的安全性就相当于安全性最差的链。综上所述，Avalanche协议是不安全和可扩展的。

3） 比特币黄金的开发团队已经阻止了针对比特币网络的“非常长的攻击链”据开发团队称，攻击者于7月1日从挖矿服务提供商尼斯哈希（nice hash）租用哈希技术，秘密挖矿了一条替代链（本质上为网络创造了新的交易记录），在此过程中挖矿了1300多个区块。7月10日，袭击者释放了一条秘密链条，试图收集8000多块比特币黄金。然而，攻击者被击败，因为比特币黄金团队很早就发现了攻击，并警告矿坑和交换潜在的攻击。

一旦发现公众评论链中的漏洞，就会对整个生态系统产生巨大的影响。因此，在公链正式版推出之前，一定要做好安全测试和漏洞调查，并寻求第三方安全公司的审计，避免因漏洞威胁而影响公链生态。

与交换有关

7月份发生了两起与交易所有关的安全事件

1） Okcoin的官方微博说，Okcoin的网站遭受了两波DoS攻击，导致用户近4个小时无法登录该网站。幸运的是，所有的客户资产都是安全的，移动应用程序和api都能正常工作。

2） 加密货币交易所Cashaa说，黑客从其中一个钱包里偷走了336个比特币。目前，交易所已停止所有与加密有关的交易。

Peckshield评论：黑客窃取资产并实施洗钱。不管交易过程有多复杂，他们一般都会将交易视为兑现渠道的一部分。这无疑对主要数字资产交易所的KYC和KYT业务提出了要求，交易所应加强对AML反洗钱和资本合规的审查。详情请访问www.coinholmes.com网站明白。

勒索相关

七月份发生了四起与勒索有关的安全事件

1） 一家跨国科技公司Garmin被俄罗斯网络犯罪集团eil Corp勒索1000万美元赎金，以加密货币支付。Garmin的匿名员工证实，wastedlocker勒索软件已经损坏了该公司的客户支持服务、导航解决方案等。

2） 跨平台数据库公司Mongodb遭受了网络攻击。黑客通过删除其内容渗透到22900个不安全的数据库中。黑客要求每个数据库0.015 BTC（约140美元），因此要求总额超过320万美元。

3） 英国足球联赛的俱乐部已经成为勒索软件的目标，他们的公司安全系统也遭到破坏。攻击者要求的赎金是400 BTC（约合366万美元）。据悉，该俱乐部拒绝付款，导致其存储的数据丢失。根据这项研究，大约40%的针对英国体育组织的攻击与恶意软件有关，其中四分之一与勒索软件有关。

4） 乌克兰安全局（SSU）拘留了两名非法人员，他们要求使用比特币或将炸毁该国首都的建筑物。根据SSU邮报的报道，两名60岁的男子在基辅的一栋公寓楼上张贴纸条，威胁说，如果他的比特币地址没有收到50个比特币，他将炸毁这座大楼或另一座大楼。

Peckshield点评：敲诈安全事件一直是影响整个互联网生态的重大隐患，而不仅仅局限于区块链生态。此外，加密货币在区块链领域普及后，犯罪分子往往利用比特币和其他加密货币更好的匿名性进行勒索和欺诈。

路上的诈骗

除上述情况外，7月份还发生了多起诈骗事件，应引起注意，如：

1） 四年前攻击bitfinex交易所的黑客再次出现，从当时被盗的加密货币中转移了44872个BTC，价值近500万美元。当时，bitfinex亏损近7200万美元。

2） 7月22日，加密公司eritaseum首席执行官雷吉·米德尔顿（Reggie Middleton）对T-Mobile提起诉讼，指控其通过一系列“Simo swap”攻击窃取价值870万美元的加密货币。

3） 7月16日，包括比尔·盖茨、奥巴马、埃隆·马斯克和苹果官方账户在内的多个twitter账户遭到黑客攻击，并发布了比特币钓鱼信息。在查看黑客在twitter上留下的地址后，发现该地址收到了12.86条比特币。

4） 白帽黑客哈里·登利成功侵入一个加密货币网络钓鱼诈骗的数据库，成功截获价值1.6万美元的以太坊和Dec币，并已将这些加密货币退还给合法拥有者。

5） 区块链公司eritaseum首席执行官雷吉·米德尔顿（Reggie Middleton）起诉美国电信运营商T-Mobile，称该公司严重疏忽未能保护客户，导致一系列SIM卡劫持攻击，导致价值870万美元的加密货币被盗。

6） 经过两个多月的缜密侦查，牡丹江市公安局反诈骗中心、海林市公安局成功破获一起涉案金额100余万元的特大虚拟货币电信诈骗案，跨省抓获犯罪嫌疑人7名。

7） 近日，灌云警方进行了缜密侦查，迅速展开了攻势。他们先后逮捕了利用区块链投资进行诈骗的犯罪嫌疑人杨某。他们成功摧毁了该团伙在河南郑州的犯罪窝点，缴获涉案电脑、手机、硬盘等电子设备，涉案金额29万元。据调查，2019年期间，杨元庆通过“百业链”app，诱骗会员投资区块链软件，并承诺在购买“矿机”后，通过挖币、换币、交易等方式获取高额回报。

8） 韩国玉山地方法院一名刑事法官14日说，5个谎称“人工智能（AI）通过交易比特币获利”的犯罪团伙，因欺骗投资者68亿韩元，被判处有期徒刑和罚款。2018年1月至9月，他们以投资为名获得944倍赃款，总额超过68亿韩元。

9） 编造柬埔寨“西港特区”投资项目和亚泰坊“数字货币”，诱使他人加入传销组织。短短6个月时间，已开发线下108个，吸纳会员注册账户67万个，涉案金额达8.14亿元。

10） 浙江温州瓯海警方破获国内首例利用区块链“智能合约”犯罪案件，捣毁犯罪窝点2个，抓获犯罪嫌疑人10名，查扣迈凯轮、法拉利等豪车和房产，涉案金额超过1亿元。

11） 一个名为keeper的黑客团伙建立了一个互联网，从570多个电子商务网站窃取信用卡数据。自2017年以来，该集团通过在黑网出售信用卡信息获得了超过700万美元的加密货币。

12） 云计算动力平台miningzoo涉嫌出逃。该平台伪造了大量信息，包括获得知名VC赛源风险投资的信息。截至7月6日，仍有大量投资者无法提取在该平台上投资云算力获得的加密货币，部分投资者准备报警。

13） 黑客利用Runescape的漏洞进行双花攻击，获得了价值25万多美元的数万亿游戏币，并用这些资金购买了比特币。

14） 不法僵尸网络在中国感染了大约2万台Linux服务器，影响了数以万计的企业。此攻击的父文件是dota3焦油gz它应该是第三个版本的非法僵尸网络木马。父文件释放shell脚本以启动相应的二进制程序。Kswapd0负责挖矿门罗硬币，t32和t64负责持续SSH爆炸攻击以传播病毒。

15） 有个非法人冒充ripple CEO Brad garringhouse更改.org**书含有伪造的XRP空投内容。**书共享了一个可疑网站的链接，该网站邀请所有空投参与者将XRP发送到一个保证*利润的特殊地址。

16） 近日，根据公安部统一指挥部署，公安机关立案侦查“加代币平台”网络传销案件。该案27名主要犯罪嫌疑人、82名骨干成员全部落网归案，彻底摧毁了这个在国内外特大跨国网络传销组织。该案是公安机关侦破的首例以比特币等数字货币为交易媒介的网络传销案件。涉案人员200多万人，层级关系3000多层，涉案数字货币总值超过400亿元。

Peckshield点评：由于用户安全意识和操作规范性的缺失，各种安全风险层出不穷，如网络钓鱼攻击、欺诈等事件层出不穷。在此说明中，用户应谨慎保管各类私人信息，任何一个小小的疏忽都可能造成无法挽回的损失。