2021 年，對區塊鏈行業來說，是跌宕起伏的一年，僅管如此，區塊鏈憑藉其去中心化、開放透明的特性，在行業內外的努力下，仍取得了良好的成績。同時，繼 DeFi 之後，全球用戶、媒體對 NFT、元宇宙的瘋狂熱潮，將區塊鏈帶到了前所未有的高度。這一年到底發生了什麽？動區專欄作者 慢霧科技 Slow Mist 將從區塊鏈市場發展及典型安全事件切入，帶你一探究竟。
（前情提要：解析閃電貸》今年DeFi被盜最高破1.2億鎂，去中心化金融成「駭客」斂財神器？）
（事件背景：北韓已駭11國14家交易所、吸金17億美元！還HODL大賺60倍）
區塊鏈生態安全態勢
政策、合規、監管
從中國環境看，一方面政府加大對區塊鏈技術的研發和應用的重視程度，工信部指出到 2025 年區塊鏈等設施服務能力顯著增強；另一方面，政府繼續收緊對加密貨幣的監管。
9 月，多部門發布了《關於進一步防範和處置虛擬貨幣交易炒作風險的通知》、發改委等部門聯合發布了《關於整治虛擬貨幣「挖礦」活動的通知》。相關材料顯示，2021 年國家層面出台的涉及區塊鏈相關內容的政策文件，內容覆蓋高校科研、人才培育、技術應用標準、知識產權、數位農業、航運交通、疫情防控、網路安全、社會救助、數位文化產業等方面。
從國外環境看，各國政府仍對加密貨幣持續關注，對加密貨幣的監管逐步完善、政策也逐步放開。全球反洗錢機構金融行動特別工作組發佈加密貨幣最新監管指南；韓國首爾將打造公共服務「元宇宙平台」；美國德州虛擬貨幣法案已正式生效；比特幣正式成為薩爾瓦多法定貨幣；烏克蘭議會透過虛擬資產法案等。
可以看出，全球各政府對區塊鏈的重視程度進一步提升，區塊鏈作為「新基礎建設」的重要組成部分，正在被越來越多的主流機構擁抱。
技術、應用、經濟
中國「區塊鏈 + 產業」同樣穩步發展，各類落地應用項目不斷湧現。中國首個區塊鏈知識產權保護工作站揭牌成立；廣東省發放全國首張公共數據資產憑證。
巨頭公司也加入賽道：華為公開「安全晶片及處理方法」專利、騰訊雲區塊鏈發布三款產品、百度新增「區塊鏈系統升級方法、裝置、設備及儲存介質」專利；中國移動通訊聯合會元宇宙產業委員會正式成立；中國區塊鏈專利申請量全球第一，占比約 63%；商務部表示推動區塊鏈等新技術標準化應用等。
2021 年，區塊鏈底層技術也實現了關鍵突破。以太坊預計將在 2022 年 Q2 合併，V 神等人提出 EIP-4488 旨在降低以太坊二層擴容解決方案的 Gas；以太坊 Layer 2 擴容方案 Arbitrum 將推出基於 WASM 的新版本 Nitro；8 月 5 日以太坊完成倫敦升級。
延伸閱讀：以太坊倫敦升級完成！啟用通縮機制「半天已銷毀 3,372 ETH」，幣價急漲8%
安全事件
區塊鏈技術就是一把雙面刃，其去中心化、匿名性、不可篡改等特性在促進產業進步的同時，引發的區塊鏈安全問題也顯著增加，加密貨幣犯罪五花八門，洗錢、詐騙、盜竊、販毒、挖礦犯罪等案件頻發。
據慢霧科技區塊鏈被駭檔案數據不完全統計，截止發文前，2021 年區塊鏈生態被公開的區塊鏈安全事件共 231 起，損失超 98 億美元。
其中各生態 DApp、DeFi 等安全事件 170 起，交易所安全事件 15 起，公鏈安全事件 8 起，錢包安全事件 3 起，其他類型安全事件 35 起。
自 2018 年以來，總體損失走勢還是升高的。
下面帶大家來回顧典型事件，同時對每類事件附上慢霧觀點。雖然本文列舉的僅是冰山一角，但具有很大的代表性。
安全事件與觀點
公鏈
BSV 遭 51% 攻擊：
8 月 4 日，BSV 疑似遭受到 51% 攻擊，近 100 個區塊發生重組。
ETC 主網遭遇分叉：
9 月 4 日，Ethereum Classic （ETC）發推文稱，因以太坊客戶端 Geth 漏洞導致 ETC 主網遭遇分叉。
Solana 的主網 Beta 版遭拒絕服務攻擊：
9 月 14 日，公鏈 Solana 的主網 Beta 版自台灣時間 19:52 開始出現不穩定狀況，9 月 21 日，Solana 官方發布網路中斷初步概述：Solana 網路離線 17 個小時，沒有資金損失，網路在 24 小時內恢覆了全部功能。
網路停滯的原因是拒絕服務攻擊。UTC 時間 12:00，Grape Protocol 在 Raydium 上啟動 IDO，機器人生成的交易使網路擁堵。這些交易造成了內存溢出，導致許多驗證節點崩潰，迫使網路變慢並最終停止。
慢霧觀點：
公鏈安全漏洞雖造成損失較小，但對整個鏈生態的影響巨大。所以公鏈在上線前一定要經過專業的安全審計。建議公鏈團隊與可信且職業的安全團隊進行深入合作，部署因地制宜的安全建議，將引起安全問題的可能性降到最低，從而保障整個公鏈的安全。
交易所
Cryptopia 再次遭駭客入侵：
2 月 20 日，紐西蘭交易所 Cryptopia 再次遭駭客入侵，調查顯示，駭客訪問了一個錢包，該錢包自 2019 年 1 月駭客入侵以來一直處於休眠狀態。該錢包屬於 Stakenet，由 Cryptopia 的清算人 Grant Thornton 控制。根據調查結果，休眠的錢包持有價值約 196 萬美元的 Xtake，這是 Stakenet 的原生代幣。
Liquid 熱錢包遭攻擊：
8 月 19 日，日本加密交易平台 Liquid 稱其熱錢包遭到攻擊。慢霧 AML 團隊利用旗下 MistTrack 反洗錢追蹤系統分析統計，Liquid 共計損失約 9,135 萬美元（按事發當天價格計），被盜幣種涉及 BTC、ETH、ERC20 代幣、TRX、TRC20 代幣、XRP 等超 70 種，幣種之多，數額之高，令人驚嘆。
延伸閱讀：日本交易所 Liquid 遭駭 8,000 萬美元！熱錢包損失涵蓋 BTC ETH TRX XRP…
慢霧觀點：
交易所安全問題已經成為交易所和用戶關注的首要問題，甚至成為決定交易所存亡的關鍵。尤其今年第四季度各種交易所接連遭攻擊，損失十分慘重。
交易所頻受攻擊，原因如下：（1）交易所聚集大量資金，一直是駭客覬覦的對象；（2）交易所多數情況下防禦脆弱，容易產生安全漏洞，容易被駭客從薄弱點切入（3）用戶缺乏足夠的安全意識；（4）內部作案。
針對交易所，建議各大交易所健全內部管理與技術機制，通過引入安全審計機制、零信任機制、冷熱資產安全解決方案等來加強對數位資產的安全保障。同時，積極迎接監管。針對用戶，一定要加強安全意識，無論任何時候都不要把私鑰泄露給任何人，同時，認準官方平台，避免釣魚事件的發生。
錢包
Ledger 錢包多次發生泄露事件：
6 月 18 日，比特幣硬體錢包提供商 Ledger 提醒用戶稱，近期發生了一系列利用偽造 Ledger 硬體錢包騙取用戶資產的新型騙局，部分一年前訊息遭到泄露的用戶收到要求用戶更換硬體錢包的包裹，該包裹包括一份偽造的官方信件及一個被篡改過的 Ledger 硬體錢包。
Ledger 表示，信中關於「需要更換現有的硬體錢包來保護你的資金」為騙局，附贈的 Ledger Nano 也是假的，如用戶按照信中說明輸入種子單詞，用戶的加密資產將會被盜。
多個 Chivo 錢包被盜：
Chivo 錢包是薩爾瓦多政府為推行比特幣法案而在 9 月 7 日發布的國家級數位錢包，為此，薩爾瓦多承諾，下載並認證的 Chivo 錢包用戶將獲得 30 美元的比特幣獎勵。
延伸閱讀：薩爾瓦多 | 數百人控訴 Chivo錢包的比特幣莫名丟失，民眾抗議政府不承認錯誤
此舉使這個薩爾瓦多官方錢包在 1 個月內的用戶量超過 200 萬人。然而，在 10 月 9 日至 10 月 14 日期間，薩爾瓦多的人權組織 Cristosal 收到了 755 份關於薩爾瓦多人報告 Chivo 錢包身份被盜的通知。
慢霧觀點：
雖然今年與錢包本身相關的事件數量有所下降，但因下載假錢包 App 被盜的事件數量卻十分龐大。據慢霧 11 月份的報告，假錢包 App 已致上萬人被盜，損失高達 13 億美元。樹立安全意識、掌握正確方法才能真正保護你的資產。首先，認準官方網站，不要點擊除官方外的鏈接；其次，做好錢包備份並妥善保管好私鑰助記詞；最後，時刻保持懷疑之心，天下沒有免費的午餐。
DApp、DeFi、NFT、跨鏈
1. ETH 生態
SushiSwap 再次遭攻擊：
1 月 27 日，SushiSwap 再次遭遇攻擊，損失 81 ETH。本次攻擊和 SushiSwap 第一次攻擊類似，都是透過操控交易對的兌換價格來產生獲利。
這次的攻擊利用了 DIGG 本身沒有對 WETH 交易對，而攻擊者創建了這個交易對並操控了初始的交易價格，導致手續費兌換過程中產生了巨大的滑點，攻擊者使用少量的 DIGG 和 WETH 提供初始流動性即可獲取巨額利潤。
SIL 被盜後追回 1,215 萬美元：
3 月 19 日，DeFi 聚合理財服務 SIL.Finance 合約出現高危漏洞。後 SIL.Finance 發文稱，此次事件是由智能合約權限漏洞引起的，該漏洞繼而觸發了一個通用搶先交易機器人提交一系列交易以獲利。在發現智能合約因存在高危漏洞而無法提現後，經過慢霧等多方 36 小時的努力，已經成功追回 1,215 萬美元。
2. BSC 生態
Compound 漏洞與提案：
9 月 30 日，去中心化借貸協議 Compound 透過推特確認，在執行 62 號提案後，該協議的流動性挖礦出現 COMP 代幣分發異常情況，Compound Labs 和社群成員正在進行調查 。
Compound 表示，存款和借款資金目前未發現存在風險。Compound 創辦人 Robert Leshner 表示，出現的問題看起來是根據 62 號提案進行 COMP 代幣分發的速率初始設定出錯，導致過多 COMP 代幣被分發。
延伸閱讀：1.6億鎂潛在損失｜Compound “COMP分發漏洞”修復提案通過 ， 10/9執行
10 月 4 日，就在 Compound 試圖修補漏洞時，另外一筆價值 6,880 萬美元的 COMP 代幣（共計 202,472 枚 COMP）因為 drip() 函數的調用而被打入了已經存在漏洞的流動性挖礦代幣分發合約。
Cream Finance 再三遭受攻擊：
10 月 27 日，DeFi 借貸協議 Cream Finance 遭受攻擊，損失約 1.3 億美元。被盜的資金主要是 Cream LP 代幣和其他 ERC-20 代幣。據悉，這是有史以來第三大 DeFi 駭客攻擊。此外，Cream Finance 此前曾多次遭受閃電貸攻擊，2 月份損失 3,750 萬美元，8 月份又損失 1,900 萬美元。
延伸閱讀：Cream Finance第三度遭閃電貸攻擊、損失 1.3 億美元，駭客留下神秘訊息
3. EOS 生態
flash.sx 智能合約遭重入攻擊：
自 5 月 14 日 11:28 UTC 開始，flash.sx 閃電貸智能合約遭受到「re-entry」 攻擊漏洞，相繼有大約 120 萬 EOS 和 46.2 萬 USDT 被盜。據官方消息，EOS Nation 旗下閃電貸被駭客攻擊後，項目方發起提案直接更改了駭客 EOS 帳號權限轉回資產。
PIZZA 遭駭客攻擊：
12 月 8 日下午 8 點，駭客帳戶 itsspiderman 利用溢出漏洞在 eCurve 憑空增發 tripool 做市憑證，在 PIZZA 質押並借出協議中的絕大部分代幣。事後駭客創建 一百三十餘萬帳戶並將盜竊資產分散。PIZZA 協議在本次攻擊中的損失約折合 500 萬美元。
4. Polygon 生態
算法穩定幣項目 SafeDollar 遭攻擊：
6 月 28 日，Polygon 上算法穩定幣項目 SafeDollar 疑似遭到駭客攻擊，一份未經證實的合約似乎抽走了 25 萬美元的 USDC 和 USDT。
PolyYeld Finance 合約遭利用：
收益耕作協議 PolyYeld Finance 遭到攻擊，項目合約被利用鑄造了 4.9 兆個 YELD 代幣並在二級市場進行傾銷。
延伸閱讀：Polygon DeFi｜收益聚合器 PolyYeld 遭到攻擊，代幣 YELD「閃崩歸零」
5. HECO 生態
HSO 捲走 3 萬 HT 跑路：
3 月 10 日，火幣生態鏈 HECO 上的預言機項目 HSO 進行 IDO 後捲走 3 萬 HT 跑路，網站、Telegram 均無法打開。後在 HECO 核心原始碼貢獻團隊星辰實驗室、HECO 技術社群與 HECO 白帽安全聯盟等有關各方的全力推動下，已追回 24,823 枚 HT。
XDX Swap 遭攻擊：
7 月 2 日，Heco 鏈上跨鏈去中心化交易所 DDEX 上 XDX Swap（DDEX）遭到攻擊，攻擊者獲利 85.17 ETH （約 17.6 萬美元）並將其全部跨鏈至以太坊。DDEX 原始碼疑似存在後門。在 DDEX 及星辰實驗室、HECO 白帽安全聯盟等方面的支持和配合下，XDX Swap 陸續追回涉及此次攻擊事件中的大部分資金，總價值超過 500 萬美元。
6. 其他生態
NEAR 生態 Ref.Finance 因合約錯誤被利用：
8 月 15 日，NEAR 生態 Ref.Finance 團隊發推文稱，UTC 時間 8 月 14 日下午 2 點左右，Ref 團隊注意到 REF-NEAR 交易對的異常行為，隨即發現最近所部署合約的修補程序中的一個錯誤，且該錯誤已被多個用戶利用，致使約 100 萬枚 REF 和 58 萬枚 NEAR 受到影響。
Solana 生態 Solend 遭到駭客攻擊：
8 月 19 日，Solana 生態借貸協議 Solend 發推文稱，協議於台灣時間 8 月 19 日 20:40 遭到駭客攻擊，攻擊者破解了 UpdateReserveConfig 函數中對不安全身份的檢查，使得其可以清算所有帳戶。此外，駭客還將借入資金的 APY 設置為了 250%。
此期間，有 5 名用戶的資金被誤清算。Solend 表示，本次攻擊沒有造成資金被盜的情況，之後將提高漏洞賞金的規模並建立更好的監控和報警系統。
波卡生態 IDO 平台 Polkatrain 被套利：
4 月 5 日，波卡生態 IDO 平台 Polkatrain 發生事故，據慢霧分析，本次出現問題的合約為 Polkatrain 項目的 POLT_LBP 合約，該合約有一個 swap 函數，並存在一個返傭機制，當用戶透過 swap 函數購買 PLOT 代幣的時候獲得一定量的返傭，該筆返傭會通過合約裡的 _update 函數調用 transferFrom 的形式轉發送給用戶。
由於 _update 函數沒有設置一個池子的最多的返傭數量，也未在返傭的時候判斷總返傭金是否用完了，導致惡意的套利者可通過不斷調用 swap 函數進行代幣兌換來薅取合約的返傭獎勵。
Avalanche 鏈上借貸協議 Vee.Finance 被盜：
9 月 20 日，Avalanche 鏈上借貸協議 Vee.Finance 團隊注意到多次異常轉帳，經過進一步監控，共有 8,804.7 ETH 和 213.93 BTC 被盜（總價值超 3,500 萬美元）。穩定幣部分不受此次攻擊影響。
延伸閱讀：Avalanche生態｜Vee Finance 3600萬鎂攻擊事件，平台將承擔「全部損失」、已上報FBI
Fantom 鏈上 GrimFinance 遭閃電貸攻擊：
12 月 19 日，Fantom 鏈上覆合收益平台 GrimFinance 遭遇閃電貸攻擊，損失已超 3,000 萬美元。攻擊者使用 GrimFinance 的保險庫策略中名為「beforeDeposit()」的函數進行攻擊，輸入惡意 Token 合約。
延伸閱讀：Grim Finance 遭閃電貸攻擊！損失三千萬美元、官方籲用戶速提領資金
7. 跨鏈系統
跨鏈交易協議 THORChain 三遭攻擊：
6 月 29 日，THORChain 遭 「假充值」攻擊，損失近 35 萬美元；7 月 16 日，THORChain 二次遭 「假充值」 攻擊，損失近 800 萬美元；7 月 23 日，THORChain 再三遭攻擊，損失近 800 萬美元。
延伸閱讀：DeFi 安全｜THORChain第二起駭客攻擊！4,000 ETH 損失官方承諾全額返還
跨鏈橋 Chainswap 被盜影響多個平台：
7 月 11 日，跨鏈橋項目 Chainswap 再次遭到駭客攻擊，在該橋梁部署智能合約的超 20 個項目代幣都遭遇駭客盜取，預計總損失為 400 萬美元，幾乎釀成 DeFi 史上影響範圍最大的一次安全事故。
根據 Chainswap 調查，由於代幣跨鏈配額原始碼中的錯誤，鏈上交換橋配額由簽名節點自動增加，其目的是在無需人工控制的情況下更加去中心化。但是，由於原始碼中的邏輯缺陷，這導致了透過允許未列入白名單的無效地址自動增加數量的漏洞。
延伸閱讀：跨鏈協議ChainSwap本月2次遭駭！牽連「10逾DeFi幣崩盤」，損失逾800萬美元
此前在 7 月 2 日，Chainswap 也曾遭遇駭客攻擊，部分用戶代幣被主動從與 ChainSwap 互動的錢包中取出，預計總損失為 80 萬美元。
Poly Network 6.1 億美元被盜後被歸還：
發生在 8 月 10 日的 Poly Network 攻擊事件可能是史上涉及金額最大的一起網路安全事件，超過 6.1 億美元的加密資產在 15 天內被盜並被歸還。整個區塊鏈行業及所有相關方，和 Poly Network 一起經歷了這跌宕起伏的過程。目前所有涉及資產已經全部歸還用戶，系統功能已經基本恢覆至事件前水平。
延伸閱讀：解析 | DeFi史上最大盜竊案，僅34分鐘Poly Network資產被駭6.1億美元
8. NFT
NFT 欺詐蔓延：
8 月 2 日，一個名為「cryptopunksbot」的騙子在 CryptoPunk 的 Discord 服務器上發布，為 NFT 投資者提供贏得 10 個 NFT 頭像的機會。NFT 項目創辦人 Stazie 因接受了虛假報價的海報，而失去了 16 個 CryptoPunk，價值至少 100 萬美元。隨後欺詐者以 149 ETH（385,000 美元）的價格出售了 5 個 CryptoPunk。
延伸閱讀：NFT開發者遭釣魚網站「盜走16個CryptoPunks」，給出註記詞的代價破百萬美元
慢霧觀點：
自 DeFi 誕生以來，就伴隨著無數的風險。僅管現在許多 DeFi 項目價值一直在爆炸式的翻倍成長，但被駭事件也愈演愈烈。經慢霧統計，DeFi 通常存在以下攻擊方式：（1）閃電貸攻擊；（2）合約漏洞；（3）兼容性或架構問題；（4）私鑰泄露或前端攻擊；（5）內部作案，跑路。
對項目方來說，想要盡可能的消除漏洞、降低安全風險，就必須做出有效的努力——在項目上線之前，對其進行全面深入的安全審計。同時，建議各 DeFi 項目方透過引入多簽機制來加大資產保護的力度。
另一方面，各 DeFi 項目在進行協議間互動時，需要做好協議之間的兼容性，開發者在移植其他協議的原始碼時，需充分了解移植協議的架構以及自己項目的架構設計，防止資金損失情況的發生。
對用戶來說，隨著區塊鏈領域的玩法愈發多樣化，用戶在進行投資前認真了解項目背景，查看該項目是否有開源、是否經過審計，在參與項目時需要提高警惕，注意項目風險。
其他類型
勒索：
5 月 7 日，全美最大油氣輸送管道營運商 Colonial Pipeline 遭到勒索軟體定向攻擊而被迫暫停營運，之後支付 75 枚比特幣，超過 4 百萬美元的贖金，才得以讓營運恢覆正常。
此次勒索攻擊由於涉及到國家級關鍵基礎設施，故而引起了全球的震動和廣泛關注。針對此事件，美國司法部官員表示，已成功追討回超過 200 萬美元的贖金。不過，美國政府官員沒有具體說明「如何取得私鑰、收回贖金」的詳細過程，僅表示這項行動展現了美國將不遺餘力應對勒索攻擊。
延伸閱讀：美國油管案引市場恐慌？FBI 如何追到「6,000萬比特幣贖金」、獲取私鑰的手法是？
詐騙：
8 月 20 日，俄羅斯最大的加密貨幣騙局之一的創辦人已入獄，罪名是涉嫌從其投資者那裡騙取超過 15 億美元。Finiko 於 2019 年在喀山市成立，並冒充一家合法的 BTC 投資公司。2020 年 12 月，Finiko 發布了其原生加密貨幣 FNK。根據當地報道，創辦人將從投資者那裡拿走 BTC 並獎勵他們 FNK 代幣。
釣魚：
10 月 15 日，Sophos 發布的報告稱，加密詐欺應用 CryptoRom 透過「超級簽名服務」及蘋果開發者企業計劃竊取 140 萬美元。迄今為止，與該騙局相關的比特幣地址已發送超過 139 萬美元，並且可能還有更多地址與該騙局有關。報告稱，大多數受害者是 iPhone 用戶。
該報告稱，CryptoRom 繞過 App Store 的所有安全檢查，並且每天都保持活躍。報告還表示，蘋果「應該就透過臨時分發或透過企業配置系統安裝應用程式警告用戶，這些應用程式未經蘋果審查。」
慢霧觀點：
區塊鏈在大力發展的過程中，各種打著區塊鏈名號的新型投資騙局，也如雨後春筍般層出不窮。以勒索軟體為例，美國財政部金融犯罪執法網路發布的一份報告指出，2021 上半年發生的與勒索軟體相關的交易，已經達到了 5.9 億美元。
慢霧在此提醒用戶，不要打開來歷不明的郵件附件，仔細辨別釣魚網站，始終持有懷疑謹慎的態度，有效利用殺毒軟體。
總結
僅管現在許多以 BTC 為代表的加密貨幣的市值一直在翻新高，區塊鏈行業當前發展態勢整體越來越好，但加密貨幣犯罪隨之也更猖獗。
從統計數據來看，發生安全事件次數較多、金額損失較大的月份主要在 4 月、6 月和 8 月；從各生態來看，以太坊上損失最多，超過 13 億美元，其次是 BSC 生態；從攻擊領域來看，受攻擊較多的是交易所和 DeFi。
對項目方來說，建議健全內部管理與技術機制，內部安全人員及時對安全相關內容查漏補缺。最重要也是最有效的方式——在項目上線之前，對其進行全面深入的安全審計，將引起安全問題的可能性降到最低。
對用戶來說，正確和理性看待區塊鏈，樹立正確的貨幣觀念和投資理念，切實提高風險防範意識。比如在投資前要注意智能合約有沒有開源、平台本身有沒有安全審計，最重要的是一定要保管好自己的私鑰助記詞，不要泄露給任何人。
最後，期待區塊鏈新的一年能合併出更大的能量，出現更多的落地應用，創造更大的價值。
相關報導
被誤解的閃電貸：我只是一個工具 5月DeFi安全事件25起、BSC占15起
PeckShield 專欄 |《2021 上半年數位貨幣反洗錢暨 DeFi 產業安全報告》
Google調查：所有 GCP 帳戶駭客攻擊中，高達 86% 用來雲端挖礦
BSC生態系「閃電貸攻擊」第九起！ Impossible Finance 被駭流程分析
讓動區 Telegram 新聞頻道再次強大！！立即加入獲得第一手區塊鏈、加密貨幣新聞報導。
LINE 與 Messenger 不定期為大家服務
