安全概覽 👀
2024 年 4 月，與 DeFi 漏洞利用相關的安全事件總損失約為 500 萬美元。 大多數安全事件是由「未經驗證的用戶輸入」和「存取控制問題」造成的，其中涉及 Hedgey Finance 和 SaitaChain 的事件影響重大。
給開發者的建議： 仔細檢查關鍵函數的存取控制以及用戶輸入的內容，尤其是對於具有靈活 calldata 的協議。點擊這裡查看過去的相關事件。
- Hedgey Finance 事件
4 月 19 日，以太坊上的 @hedgeyfinance 遭到攻擊，導致損失超過 180 萬美元。根本原因是未經驗證的用戶輸入。值得注意的是，儘管項目團隊和一家安全公司聲稱損失達 4000 萬美元，但由於該代幣缺乏流動性，攻擊者的實際利潤有限。最終，攻擊者可能只變現了幾百美元，因此我們不信任這些統計數據。點擊這裡查看根本原因。
- SaitaChain 事件
4 月 24 日，SaitaChain 的 Xbridge 遭到攻擊，因存取控制問題損失約 100 萬美元。攻擊者僅通過以 0.15 以太幣的價格上架一個代幣，就能夠轉移所有代幣。我們立即偵測到這次攻擊並通知了項目團隊。
- 未知合約 (0x80a0)
4 月 15 日，BSC 上的未知合約 (0x80a0) 遭到攻擊，導致損失約 60 萬美元。根本原因是未經驗證的用戶輸入。查看警報。
- Pike Finance 事件
4 月 26 日，Pike Finance 在以太坊、Arbitrum 和 Optimism 鏈上損失約 30 萬美元。根本原因是未經驗證的用戶輸入，由偽造的 CCTP 訊息導致 USDC 被抽走。我們立即偵測到此事件，但由於合約未開源，我們必須等待項目團隊確認並採取行動後才能披露攻擊交易。
- 美國首例智能合約利用案件
在美國首例涉及智能合約利用的案件中，被告被判挪用超過 1200 萬美元的資產罪名成立，並被判處 3 年監禁及沒收所得款項。
該次利用事件涉及 CremaFinance 和 NIRVANA FINANCE。僅 CremaFinance 就被挪用超過 880 萬美元。經過協商，CremaFinance 同意支付 150 萬美元（45,455 SOL）作為白帽獎金。以下是我們使用 MetaSleuth 對 CremaFinance 事件進行的資金流向分析。
👉 若要了解更多有關各種安全事件的攻擊交易、根本原因和 PoC 的資訊，請訪問我們的安全事件列表。
部落格文章
本部落格介紹了 EigenLayer 的基本理念，並闡述了 restaking 生態系統中的新安全威脅。
在這篇部落格中，我們將展示如何使用 MetaSleuth 來追蹤 Solana 上迷因代幣 $TIM 的「聰明」資金，該項目被批評為項目內部人士通過購買 $TIM 代幣賺取數百萬美元。
本部落格揭露了造成重大損失的「Inferno Drainer」網路釣魚詐騙，並建議用戶謹慎交易以避免此類詐騙。
在這篇部落格中，我們將展示一種新型的 Web3 網路釣魚手法，並提供避免被釣魚的建議。
本部落格概述了針對 Web3 用戶的 drainer 相關黑客事件，重點介紹黑客所使用的方法，旨在提高用戶對這些手法的認識和防範能力。
產品更新
- 🥳 Phalcon Security 重大升級！
協議方和 LP 現在可以監控關鍵變量，包括嵌套結構體、映射和陣列——尤其是那些涉及複雜資料結構的變量。 用戶可以在 10 秒內選擇變量並配置監控表達式，無需編寫代碼！閱讀更多
此次升級使開發者、安全研究人員和 LP 能夠更好地理解和監控交易及協議狀態，快速識別安全威脅或配置錯誤，以維護協議穩定性並保障資金安全。
- 🥳 我們改進了 Phalcon Explorer 的 UI！
現在支援全螢幕模式（Shift+F 快捷鍵），讓開發者和安全研究人員能夠更沉浸式地使用它並專注於分析。快來試試吧！
Full-screen support of BlockSec Phalcon Explorer @Phalcon_xyz https://t.co/w4YFhCxpjT pic.twitter.com/vshmXAW3m8
— BlockSec (@BlockSecTeam) April 12, 2024
合作夥伴
- Merlin ✖️ BlockSec
BlockSec Phalcon Security 現已全面支援 Merlin，頂級 BTC L2！🎉 在 ETH、BSC 和 Arbitrum 之後，Merlin 是 Phalcon Security 支援的第四條鏈！
🛡️ BlockSec Phalcon Security 正積極 24/7 監控 Merlin Chain 上的鏈上活動，並向 Merlin Chain 提供及時警報。從現在開始，Merlin Chain 上的協議團隊和投資者也可以訂閱 Phalcon Security，以獲得加密黑客監控和攔截能力。
🚀 Phalcon Explorer 也支援 Merlin！輕鬆探索交易追蹤、餘額變化和資金流向。對於一些在 The Merlin Blockchain Explorer 上沒有原始碼的主流合約，它提供了經過驗證的合約存取。
- Forta ✖️ BlockSec
Honored to be part of the @FortaNetwork ecosystem! Let's work together to make Web3 safer! 🙌 https://t.co/e87inYgJKN
— BlockSec (@BlockSecTeam) April 25, 2024
關於 BlockSec
BlockSec 是一家開創性的區塊鏈安全公司，於 2021 年由一群全球傑出的安全專家創立。公司致力於提升新興 Web3 世界的安全性和可用性，以促進其大規模採用。為此，BlockSec 提供智能合約和 EVM 鏈安全審計服務、用於主動安全開發和威脅攔截的 Phalcon Security 平台、用於資金追蹤與調查的 MetaSleuth 平台，以及供 Web3 建設者在加密世界中高效遨遊的 MetaSuites 擴充功能。
迄今為止，該公司已服務超過 300 家知名客戶，如 MetaMask、Uniswap Foundation、Compound、Forta 和 PancakeSwap，並從 Matrix Partners、Vitalbridge Capital 和分布式資本（Fenbushi Capital）等頂尖投資機構獲得了兩輪共計數千萬美元的融資。
官方 Twitter 帳號：https://twitter.com/BlockSecTeam
