撰文：慢雾安全团队
概览
2024 年 11 月，Web3 安全事件总损失约 8,624 万美元。其中，据慢雾区块链被黑档案库 (https://hacked.slowmist.io) 统计，共发生 21 起被黑事件，导致损失约 7,686 万美元，有 2,550 万美元得到返还，事件原因涉及合约漏洞、账号被黑和价格操纵等。此外，据 Web3 反诈骗平台 Scam Sniffer 统计，本月有 9,208 名钓鱼事件受害者，损失规模达 938 万美元。
(https://dune.com/scam-sniffer/november-scam-sniffer-2024-phishing-report)
安全大事件
MetaWin
2024 年 11 月 4 日，据链上侦探 ZachXBT 监测，加密博彩平台 MetaWin 疑似遭攻击，在 Ethereum 和 Solana 链上被盗取 400 多万美元。据 MetaWin CEO Skel 表示，攻击者是通过平台的 frictionless withdrawal 系统入侵了 MetaWin 的热钱包。
DeltaPrime
2024 年 11 月 11 日，DeFi 协议 DeltaPrime 在 Avalanche 和 Arbitrum 上被攻击，DeltaPrime 初步估计损失为 475 万美元。此次攻击的根本原因在于奖励领取功能缺乏输入验证。
(https://x.com/DeltaPrimeDefi/status/1855899502944903195)
Thala
2024 年 11 月 15 日，基于 Aptos 的 DeFi 项目 Thala 遭攻击，导致 2,550 万美元被盗，攻击者利用了其智能合约中的漏洞。项目方暂停了相关智能合约并冻结了部分代币，最终成功冻结约 1,150 万美元的资产。在与执法部门和多个区块链安全团队合作后，项目方成功协商追回了资产，并允许攻击者保留 30 万美元作为赏金。
(https://x.com/thalalabs/status/1857703541089120541?s=46&t=bcMyidYO0QkS5ajIW9CBdg)
DEXX
2024 年 11 月 16 日，链上交易终端 DEXX 的多名用户资金被盗。据慢雾安全团队统计，此次事件的损失规模已达 2,100 万美元。目前，慢雾安全团队在协助 DEXX 官方及合作伙伴持续进行分析。11 月 28 日，慢雾安全团队公布已收集到的 Solana 链上 8,612 个 DEXX 攻击者地址，EVM 链上的攻击者地址也将在清洗统计完成后公开。
(https://x.com/MistTrack_io/status/1862134946090881368)
Polter Finance
2024 年 11 月 17 日，基于 Fantom 的 DeFi 项目 Polter Finance 遭攻击，损失约 1,200 万美元。攻击者通过闪电贷耗尽了 BOO 的代币储备，人为抬高了 BOO 的计算价格。这使其能够借出远超抵押品实际价值的代币，从而获得了巨额利润。该平台的创始人表示，他们已向新加坡当局提交了报告，并尝试通过链上消息与攻击者联系以协商归还资金，但尚未收到回应。
(https://x.com/polterfinance/status/1857971122043551898)
特征分析及安全建议
本月安全事件数和损失规模相较上月有明显下降，这一变化在一定程度上反映了行业对安全防护措施的持续改进。值得注意的是，无论从攻击原因分布还是导致的损失规模来看，合约漏洞都为占比最高的一项。本月发生的 7 起合约漏洞利用事件造成了约 3,000 万美元的损失，占总损失的 39%，慢雾安全团队建议项目方始终保持警惕并定期进行全面的安全审计，跟踪和解决新的安全威胁和漏洞，保护项目和资产安全。
此外，慢雾安全团队注意到，本月发生了针对 Crypto 行业的 AI 投毒真实攻击案例。这一现象表明，供应链攻击的目标范围正进一步扩大。一些开发者在追求效率的同时，可能过于依赖 AI 生成的代码，而忽视了对代码安全性的审查。因此，慢雾安全团队提醒开发者和项目方，在使用 AI 生成代码时，切勿盲目信任输出结果。所有代码在投入实际使用前，都应经过严格的安全审计与测试，以防范安全隐患，保护项目及用户的资产安全。与此同时，项目方还应加强供应链整体的安全管理，对第三方工具和服务进行全面评估，并持续关注相关领域的安全动态，以及时应对新型威胁。
最后，本文收录的事件为本月主要安全事件，更多区块链安全事件可在慢雾区块链被黑档案库 (https://hacked.slowmist.io/) 查看，点击阅读原文可直接跳转。
