8 月 Web3 安全事件盘点：总损失约 3.16 亿美元

原文作者：慢雾科技

原文来源：慢雾科技

概览

2024 年 8 月，Web3 安全事件总损失约 3.16 亿美元。其中，据慢雾区块链被黑档案库 (https://hacked.slowmist.io) 统计，被黑事件共发生 28 起，导致损失约 2.53 亿美元，有 1358 万美元得到返还，事件原因涉及合约漏洞、账号被黑和前端攻击等。此外，据 Web3 反诈骗平台 Scam Sniffer 统计，本月有 9145 名钓鱼事件受害者，总损失达 6293 万美元。

主要事件

Convergence Finance

2024 年 8 月 1 日，Convergence Finance 被攻击，攻击者铸造并出售了 5800 万个 CVG 代币，约 21 万美元（相当于专门用于质押发放的全部代币份额）。此外，来自 Convex 的约 2 千美元未领取的奖励也被盗。根据 Convergence Finance 发布的事故分析报告，此次事件的根本原因是奖励分配合约的 `claimMultipleStaking` 函数缺乏对用户输入的验证。

Ronin

2024 年 8 月 6 日，游戏区块链 Ronin 遭攻击，Ronin Bridge 项目出现异常提取跨链资产的行为。据慢雾安全团队分析，此次攻击是由于权重被修改为意外值，资金无需经过任何多重签名阈值检查即可提取。攻击者从桥中提取了约 4000 枚 ETH 和 200 万枚 USDC，价值约 1200 万美元。截至 8 月 7 日，白帽归还了价值 1200 万美元的资产，并获得 50 万美元的漏洞赏金。

Nexera

2024 年 8 月 7 日，一名外部攻击者获得了管理 Nexera Fundrs 平台智能合约的凭证。利用这些凭证，攻击者从以太坊上的 Fundrs 质押合约中转移了 NXRA 代币，导致约 183 万美元的损失。在被盗的 4724 万 NXRA 代币中，攻击者只售出了 1475 万代币（约合 44.9 万美元）。Nexera 成功从攻击者的钱包中移除了剩余的 3250 万 NXRA 余额，防止了进一步的损失。

Vow

2024 年 8 月 13 日，Vow 因合约漏洞遭攻击，损失约 120 万美元。据 VOW 消息，当时团队正在测试 v$ 合约的 USD 汇率设置功能，以便为新的借贷池和预言机功能铸造 v$。攻击者利用了短暂的时间窗口和汇率变动，购买并发送了大量 VOW 代币到合约中，导致生成了近 20 亿 v$，并将其卖回 Uniswap 池中，从而获利。

User

2024 年 8 月 19 日，据链上侦探 ZachXBT 消息，一笔涉及 4064 BTC（约合 2.38 亿美元）的可疑转账可能来自一名潜在的受害者。随后资金很快被转移到 ThorChain、eXch、Kucoin、ChangeNow、Railgun 和 Avalanche Bridge。截至 8 月 27 日，已有 20.5 万美元被收回。

User

2024 年 8 月 21 日，据 Scam Sniffer 监测，一名受害者在签署了针对其 DeFi Saver Proxy 的网络钓鱼交易后，损失了价值 5543 万美元的 DAI。据 MistTrack 分析，这笔资金被发送到多个地址，随后大部分被兑换成 ETH。

Aave

2024 年 8 月 28 日，DeFi 借贷平台 Aave 的一个外围合约遭攻击，攻击者利用了一个任意调用错误，导致约 5.6 万美元的损失。受影响的外围合约 ParaSwapRepayAdapter 并不属于 Aave 核心协议，该合约用于允许用户利用现有的抵押品偿还贷款，通过去中心化交易所 ParaSwap 进行资产交换。虽然该合约本身并没设计为持有用户资金，但由于交易中的正滑点，合约中会逐渐累积一些剩余的代币。Aave 的相关人员强调，此次攻击没有对用户资金造成威胁，也没有影响核心 Aave 协议的安全。

总结

本月账号安全问题成为风险重灾区，账号被黑事件数占总被黑事件数的 64.3%。值得注意的是，黑客的攻击对象不单是区块链知名项目和成员，还包括明星及传统行业的知名品牌，如足球明星 Kylian Mbappe，麦当劳等。黑客盗取知名账号后，常发布含有钓鱼链接的动态或推广某代币，慢雾安全团队提醒广大用户谨防钓鱼攻击，多方确认消息的真实性，谨慎投资。本月的账号被黑事件多发生在 Discord 上，此前我们在慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token中讲解过 Discord Token 机制，点击链接可跳转阅读。

最后，本文收录的事件为本月主要安全事件，更多区块链安全事件可在慢雾区块链被黑档案库 (https://hacked.slowmist.io/) 查看，点击阅读原文可直接跳转。