Techub News 搜索

慢雾：Venus 用户 1300 万美元被黑深度分析撰文：慢雾安全团队背景 2025 年 9 月 2 日，社区用户 @KuanSun1990 遭遇攻击，其在 Venus 协议上的多个头寸被转移，损失约 1300 万美元。慢雾(SlowMist) 自主研发的 Web3 威胁情报与动态安全监控工具 MistEye 成功捕获该异常，并协助用户进行分析。以下为具体分析详情。 (https://x.com/SlowMist_Team/status/1962854755585429877) 根本原因受害用户误入攻击者伪造的 Zoom 在线会议链接，并在该虚假网站的引导下在电脑上运行了恶意代码，导致设备被控制。由于相关记录已被删除，分析工作面临较大挑战。根据受害者的回忆，他当时使用的是某知名官方扩展钱包，并怀疑攻击者篡改了其电脑上的扩展钱包代码。结果，用户原本通过硬件钱包发起的 Venus 资产赎回操作被篡改为 Venus 头寸委托操作，最终导致其在 Venus 上的头寸被攻击者接管。详细分析攻击者利用社会工程学手段，以商务合作为幌子，诱导目标用户参加 Zoom 在线会议，并通过 Telegram 发送会议链接（由于相关聊天记录已被删除，无法完整复原整个过程）。受害者点击该链接并加入会议。受害者当时因与其他会议时间冲突，匆忙进入会议，未仔细检查浏览器域名是否为 Zoom 官方域名。同时，伪装成商务洽谈方的攻击者在会议中持续催促，使受害者在紧迫情境下未能辨别网站上的升级提醒是否存在恶意行为。最终，受害者的电脑被攻击者控制。关于电脑被攻陷的具体方式，可参考 Web3 钓鱼演练平台 Unphishable #NO.0x0036 关卡中提供的完整练习挑战。攻击者在获得受害者电脑控制权限后，通过某种方式修改了受害者电脑中浏览器扩展的钱包代码，从而能够劫持并替换受害者的交易原始数据。由于受害者使用的硬件钱包缺乏完善的“所见即所签”(what you see is what you sign) 验证机制，最终导致受害者签署了已被篡改的交易。那么攻击者是如何修改浏览器扩展钱包的代码呢？我们知道 Chrome 有一套安全机制，如果是从 Chrome 商城上下载的扩展，只要代码被修改，浏览器就会提示扩展已损坏且无法使用；此外，这种完整性检查无法被关闭。因此，我们一度怀疑攻击者可能不是修改某知名官方浏览器扩展钱包的代码，而是采用了其他的攻击方式。由于受害者电脑中许多攻击痕迹已被清理，真相难以完全还原。然而，通过深入研究并与威胁情报网络的合作伙伴沟通，我们确认攻击者用于篡改交易的浏览器扩展 ID 与官方扩展 ID 一致。于是，我们开始研究如何实现浏览器扩展 ID 与官方保持一致，同时允许代码被修改：在浏览器扩展页面开启开发者模式的情况下，可以将官方原版扩展文件额外复制一份，然后导入浏览器，即可得到一个既可修改代码又与官方扩展 ID 一致的新扩展。这是因为 Chrome 根据 manifest.json 文件的 key 来生成扩展 ID。只要确保扩展中的 manifest.json 文件的 key 与官方相同（相同的 key 是让扩展拥有相同 ID 的关键），就可以在该新扩展中(ID 与官方一致)任意修改代码而不会触发完整性检查。通过 Patch Chrome 关于浏览器扩展内容验证的函数，可以全局关闭扩展的内容完整性检查。当然，在 macOS 上，这部分操作需要重新签名才能确保程序可用。以上是我们研究出的两种可能攻击方式。目前没有更多明确信息来佐证，因此上述方法仅代表慢雾安全团队内部的研究和推测，并不意味着攻击者实际使用了该手法。在攻击正式开始前，攻击者于 9 月 1 日使用自有资金筹集了约 21.18 个 BTCB 与 205,000 个 XRP，为接管受害用户在 Venus 的头寸做好准备。经过约 10 小时的等待，攻击者终于等到了受害用户操作其钱包的机会。此时，受害用户使用硬件钱包连接了其在 Chrome 浏览器上安装的扩展钱包，并访问了正确的 Venus 官网。随后，受害用户准备赎回其在 Venus 上的 USDT 代币。此时，受害用户调用的是正确的 redeemUnderlying 函数。但由于扩展钱包已被篡改，发送到硬件钱包进行签名的操作被替换为 updateDelegate 操作。受害者的硬件钱包并不支持详细的签名数据解析，并且开启了盲签功能，这导致受害用户在毫无防备的情况下对 updateDelegate 操作进行了签名，并通过扩展钱包提交了交易。最终，其 Venus 头寸被委托给攻击者进行管理。 (https://bscscan.com/tx/0x75eee705a234bf047050140197aeb9616418435688cfed4d072be75fcb9be0e2) 受害用户完成委托后，攻击者立即发起攻击，通过 Lista 闪电贷借入约 285 个 BTCB，并动用其自有的 21.18 个 BTCB 与 205,000 个 XRP。随后，攻击者为受害用户在 Venus 上归还了约 306.89 个 BTCB 与 152,673.96 个 XRP 的贷款。在为受害用户完成还款后，攻击者立即将受害用户在 Venus 的抵押品(USDT/USDC/WBETH/FDUSD/ETH) 赎回至其控制的地址中。此时，攻击者已完成对受害用户在 Venus 上头寸的转移，接下来只需归还从 Lista 闪电贷借入的约 285 个 BTCB，即可实现获利。由于攻击者持有的抵押品(USDT/USDC/WBETH/FDUSD/ETH) 直接在 DEX 中兑换为 BTCB 并不划算，可能造成较大滑点，因此攻击者选择将这些抵押品重新存入 Venus 并借出 BTCB 来归还闪电贷。在完成闪电贷归还后，攻击者成功接管了受害用户的 Venus 头寸，这本是一场手法精妙的钓鱼攻击案例。然而，在攻击者持有 Venus 头寸且尚未进一步操作时，Venus 团队反应迅速，立即暂停了协议，并在稍后暂停了所有市场的 EXIT_MARKET 操作。 (https://bscscan.com/tx/0xe4a66f370ef2bc098d5f6bf2a532179eea400e00e4be8ea5654fa9e8aeee65bf#eventlog) 这一措施阻断了攻击者进一步操作其头寸以获取利润。随后，Venus 团队发起了紧急提案投票，以在确保协议安全恢复的同时，尽力追回用户被盗资金。最终，Venus 团队通过强制清算攻击者的头寸，为受害用户追回了被盗资金。此外，据链上反洗钱追踪工具 MistTrack 分析，与攻击者相关的地址曾从 ChangeNOW 提币：其他相关地址曾与多个兑换平台（如 1inch）、跨链平台（如 Across Protocol）以及受制裁交易所（如 eXch）存在交互：总结此次事件是一场精心策划的网络钓鱼攻击。攻击者通过恶意 Zoom 客户端控制用户设备，并利用 Chrome 开发者模式的特性篡改钱包扩展，巧妙地将用户的资产赎回操作替换为头寸委托操作，手法极其精密。幸运的是，Venus 团队展现了出色的应急响应能力，通过多方协作与快速响应，最终帮助用户化险为夷，避免了可能造成的巨大损失。

为什么在巅峰时离开慢雾作者：Alita Btckevin 人在江湖，少装逼，更不要强行装逼。只要你做过的事，区块链就会留下痕迹。我深知一家公司和员工的关系是相辅相成的，离开了谁都无法造成当时的成就，本不愿意去外面讲一些难听的话，但是这次再次被激怒了，那我就好好的把当时加入慢雾和离开慢雾的故事始末讲清楚，让大家好了解这是一家什么样子的安全公司。故事一：我是如何认识余弦我和余弦认识是在 2014 年的北京，当时我是去参加道哥（吴翰清、https://developer.aliyun.com/article/741176可以通过链接了解真正的安全大佬是什么格局）出席的一个活动偶遇相识。后续通过微信有认识知道创宇安全团队的其他人，此时他作为知道创宇的安全副总监。而此时区块链并未如此的火遍大江南北，此时我在北京的一家上市公司旗下子公司配合总公司首席硬件科学家的一个大项目，在工作之余作为清华系的首席硬件科学家在研究 BTC 挖矿，而我就在此时接触到了 BTC 挖矿和当时 QQ 群里炒不知名的小币的人们（现在的大佬们）故事二：我为什么会加入慢雾在后来我离开了北京回到了深圳，由于有一些安全圈子的交流，一来二去就去厦门参加了当时余弦组织的端午安全技术分享小沙龙，在后来熟悉后偶尔也有私下交流联系和余弦。那时候的我对于传统安全略有一些研究，但是由于本身是研发出身，对于安全其实就是开发人员的逆向思维出于好奇，我想了解一下真正的黑客大牛（或者安全公司）是怎样的，对于当时的我就像站在安全行业的的大门前，对于里面黑乎乎的一片很好奇，想推门而入一探究竟。我记得当时应该是 2018 年左右吧，余弦离开了他从实习到离开呆了十年的公司知道创宇，在厦门成立了一个小的安全工作室，这也是当时去厦门参加安全沙龙时候才知道的事。在后来突然有一天群里说我们做个区块链安全公司吧，本想告别互联网 Web 2 到区块链领域大干一场的我就兴冲冲的从钱多事少离家近的深圳，之身去到了厦门。当时慢雾刚刚成立，办公室还是上家留下的场地还没来得及装修，我记得上家公司还是做土地质量检测的，因为办公室遗留的桌椅和办公室门牌都还在。故事三：我在慢雾的经历（1）可以说我是慢雾的第一名正式员工（如果余弦他老婆非要说她跑前跑后注册公司她算第一个员工的话，那我算是第二个吧）就这样我加入了慢雾科技，成为了办公室第一名正式员工，一周后启富才从网宿科技离职出来加入慢雾科技，当时办公室和另外一家公司越零一（上文说的余弦在厦门最早注册的安全工作室）在一个办公室内办公，加起来办公室就四五个人第一年的时候。（2）我承认当时作为一个高级 Java 研发工程师我对智能合约的了解几乎为 0 ，当然此时所有人都是 0 基础，因为以太坊的智能合约才刚推出不久。在慢雾的时候也学到了很多区块链知识和经历过很多交易所被黑的场景，但是这些一切都是基于我个人的努力和业务的驱使使我快速学习和吸收（基本上每天睡 4 个小时研究不同的漏洞和攻击和响应，同时还要 24 小时在线为安全顾问的客户排疑解难，和发送最新漏洞预警）我们一边看着https://github.com/OpenZeppelin/openzeppelin-contracts的智能合约安全实践最佳指南，一边为客户审计他们的 ERC 20 Token，我记得当时我们的第一个客户是厦门的本地企业，第一份智能合约的审计报告也是我熬了三天后给客户出的报告（也算是国内的第一份智能合约审计报告了，至今报告模版还在被沿用和做一些细微修改），后来第一个客户也在很多年后因为做了一个很火的 Defi 被抓了，当然这个客户被抓也不是慢雾的原因造成的，因为他们做过太多的项目和交易所割韭菜。（3）我的第一次公开露面是当时慢雾发现了以太坊情人节的盗币漏洞（https://x.com/SlowMist_Team/status/1012525355922419712）在当时也是很多人在网上说自己节点内的币，莫名其妙的被转走了，也有人找过来询问原因，出于 PR 出身的余弦安排团队专门做了一个专访页面，为此次事件开始了慢雾的第一次公开营销。效果毫无疑问很好，毕竟作为传统安全的老人，还是有一些人脉和影响力的。就这样慢雾出现了在大家眼前。（4）雷军老板说过：“在风口上的猪都能飞起来。” 慢雾的突然业务爆发是在蔡老板的美链 BEC 突然被溢出增发的时候交易所突然意识到了智能合约的安全隐患，此时但是的交易所火币、币安、OK 等都找过来要审计上过的所有的 Token 合约代码，此时形成了业界规定，项目方上币必须经过安全公司审计，并且出具合格的审计报告。赶上了风口，从此智能合约的审计业务爆发了…… （5）在慢雾的第一年，年中的总结汇报是我做的。所有的安全顾问客户和合约审计客户列表我统计完觉得，不枉费这一年的辛苦，这个成绩值得肯定。当时第一年我们四五个人服务了 25 还是 27 家客户，年营收大约 1700 W ，当然这并不是我一个人的功劳，我只是作为安全负责人和合伙人做了该做的技术服务，让客户免于被攻击和被盗币，职责所在无可厚非。（6）讲讲属于我和 yudan 的高光时刻，当时 EOS 上线后，很多交易所第一时间就为了流量接入了，但是当时 EOS 有一个致命的假充值漏洞，作为 EOS 启动时候的最佳配合安全公司慢雾在当时 EOS 圈子内还是很有声望的。但是实际的技术研究人员并不包括余弦，因为他在公司基本上不懂具体的区块链安全技术，他只负责在各个群里收集情报和营销，这也导致了很多时候群里有大佬问技术问题，他都要转发到群里我们给他解答后，他在作为发言人进行营销。但是 EOS 上的核心技术人员就是 yudan 和另外一个同事吧，在 yudan 我们发现了 EOS 假充值的时候，我们配合进行假充值的测试，在当晚的凌晨 2:00 多，我们发现了某知名交易所有这个假充值的漏洞，在此时作为一个有职业操守的安全从业人员，我和 yudan 经住了考验，在我们紧急联系了对方交易所老板和技术后，我们配合测试充值进去金额已经十几亿美金，充值多少到账多少，如果这一晚我们的人品和道德经不起考验，那么我们也早已财富自由（或被抓在大牢里了）。至于慢雾老板余弦为什么在我离职后对外说我坏话，跟我的投资人来滴滴时候说我只是一个小孩子，不懂什么技术，还跟我的 CTO 说我人品有问题，被我 CTO 截图给我看，我是不理解的，我甚至不相信他的人品和道德底线就那么的低。（7）这一次 Venus 大户被钓鱼攻击的事件在余弦自己公开营销失败后，作为前员工 yudan 仅仅是讲了几句实话，说他威胁别人，他们整个慢雾公司就又激动了，在 Twitter 和朋友圈公开炮轰别人一个技术实力派，如果一家公司仅仅靠营销活着，那么距离倒闭就不远了。难道意思是只要你黑慢雾，后果就是我已经不考虑通过法律来维护我和公司的权益了，不管你以后人在哪里，做什么生意，你曾经做的事，我们永远会记仇，并且会盯着你。我想如果慢雾通过这种方式威胁社区，让别人不敢批评你们，说你们坏话，这不可能。作为曾经的受害者，我不允许也不能让霸凌发生在我和我曾经一起战斗过的兄弟身上。故事四：我为什么离开慢雾很多人问过我，为什么在慢雾巅峰时候离开慢雾，我要么轻描淡写，要么很熟的朋友，我会吐槽几句。（1）慢雾的股权结构为四个股东每人 25% 持股，死局。（2）余弦的老婆在公司负责财务和人事。（3）CEO 黄比干的一些不配作为 CEO 的事情（作为技术负责人，每次出差都是我和黄比搭档，但是由于他不懂技术，总是我在跟客户沟通，让他显得有点多余插不上话，导致了后来黄比在公司开会的时候情绪崩溃，哭着把桌子上的饰品摔的散落一地，指责我抢了他的风头和有客户需要接待必须我陪客户喝酒，而我在第一年年会上应为同事灌酒导致晕倒在厕所，被 120 送去了 ICU 呆了一晚上，而留在医院看护我的仅仅是我私人关系较好的一个兄弟。以至于后来出院半个月内电脑密码都不记得，导致的后背脊椎损伤和记忆损伤，这样的公司无异于 996 压榨员工的无情机器，没有什么感情跟员工讲。）（4）当然也有心凉了和给的少了（我去慢雾一开始说大家都是兄弟一起创业的薪资就降低一点吧，让我一个从深圳过去厦门的人降低薪资要求，只能给到月薪 1.5 W-2 W 当时，算是钱少事多离家远，当然这些我都自愿接受了，无可厚非。周瑜打黄盖，一个愿打一个愿挨，但是当时我一年负责 25 个项目，一年营收 1700 W，年终奖就给了两个月薪资 4 W，后来想想，我觉得这种公司只能共苦，不能同甘，算了吧，老板格局小了）故事五：最终的离开是【道不同不相为谋】在经历了种种不公平和让人心凉的事情后，让我最不能接受的是公司和工司的人的虚伪。在 EOS 上线的不久，EOS 上面发了一个项目叫 EOS 狼人杀，而这个狼人杀项目就是慢雾的股东和内部的人找人做的，但是最终让做这个项目的人背了黑锅，在这里也要为他们正名，他也是无辜的，因为赚的最多的反而是慢雾的人（有兴趣自己去看https://zhuanlan.zhihu.com/p/40861640）这是慢雾科技的 CEO aby 的 EOS 账户，有兴趣的可以自行研究，看看当时参与的行为。当然在第二天 aby 给了我一个钱包，里面有 500 EOS，我收了，如果需要证明可以提供出来。慢雾科技也是 EOS 狼人杀该项目的审计公司，人品和道德高下立见。当婊子就不要立牌坊，这一次需要让行业知道更多的真相。我和 yudan 这几年被他们说了多少坏话，我相信任何一个离开慢雾的人，都会被慢雾发律师函和发公告，不信等你们离开的时候，我们的经历便是各位的终局。离开时我曾好言相劝：公瑾好生用兵可惜，执迷不悟一条路走到黑，有今日之事也不意外。只是可惜了曾经一起战斗过的兄弟们工作和感情，在此想你们道歉，非我本意，只是他们要赶尽杀绝，我和 yudan 必须揭露他们丑恶的嘴脸。再见了，曾经的慢雾，这是终局。我亲手毁掉了我曾经创造的一家公司。借用三体的一句话结束本文：弱小和无知不是生存障碍，傲慢才是！！！

头条速递|慢雾余弦：助记词/私钥触网使用越久、越多人共用，越易泄露且难以排查▌巨鲸James Wynn：我会卷土重来，一如既往巨鲸James Wynn在X平台发文表示：“我会卷土重来，一如既往，我会很享受这样做，也喜欢游戏，喜欢秋千，金钱完全取决于心态，我下了很大的赌注，精心计算，赚了很多钱，你们大多数人不敢，你们没有这样的能力，也缺乏心态，我每个月的被动收入比你们大多数人一年的收入还要多。但是，金钱并不能让你真正富有，和平、幸福、家庭、爱情、忠诚、健康、自然、阳光、狗狗，才能让你感到富有。而我，已经把这些都牢牢地记在心里。我现在比以前更加自由。” ▌Michael Saylor在比特币2025大会阐述“致富的21种方式”的指导原则 Strategy创始人Michael Saylor周四在拉斯维加斯举行的比特币2025大会上发表主题演讲，充满诗意地赞美比特币，并向观众和与会者阐述了他所谓的“致富的21种方式”的指导原则。 Michael Saylor表示，“中本聪在网络空间点燃了一把火。那些胆怯的人会逃离它，愚昧的人会围着它起舞，而忠诚者则会添柴加火，怀抱对更美好世界的梦想，沐浴在网络之光的温暖中，很多人看到比特币会感到害怕。他们永远不会接触它，永远也无法从中受益，最终被时代抛在身后。但那些真正理解它的人，会去添柴加火。买入比特币，就是在添柴加火。” Michael Saylor表示，“拿出你的法定货币，换成比特币。拿出你的长期资本，换成比特币。卖掉你的债券，换成比特币。卖掉你的劣质股票，卖掉你的劣质房产，买入比特币”。这就是致富的第三条途径：勇气。除了勇气之外，Michael Saylor还建议观众要对比特币的潜力充满信心。 ▌欧洲央行管委：加密资产的崛起需要技术层面的应对措施欧洲央行管委帕内塔：加密资产的崛起需要技术层面的应对措施，例如数字欧元项目。与银行提供加密资产相关的声誉风险需密切关注。加密资产不能仅通过规则和限制来加以控制。 ▌慢雾余弦：助记词/私钥触网使用越久、越多人共用，越易泄露且难以排查慢雾创始人余弦表示，某用户四套助记词泄露，分别对应的四个钱包地址里的资金被盗，从链上操作手法来看，黑客地址接收资金后，全换成ETH，然后通过FixedFloat洗走。给大家提个醒，助记词/私钥触网使用越久、分发给越多人共同使用，越可能泄露，泄露原因排查起来越困难。 ▌美众议院共和党推出《数字资产市场明晰法案》，拟确立CFTC监管主导地位金色财经报道，美国众议院共和党人已正式提出他们最新版的数字资产市场监管法案，即《数字资产市场明晰法案》（Clarity Act），旨在“为数字资产市场建立监管结构，这是该行业多年来的呼声”。该法案被视为上一届《金融创新与技术法案》的继任者，由众议院金融服务委员会与农业委员会的共和党高层推动。南达科他州共和党人、农业小组委员会主席Dusty Johnson表示：“美国应成为全球数字资产市场的领导者，但要做到这一点，必须建立明确的监管框架。” 法案赋予商品期货交易委员会（CFTC）对数字商品现货市场“专属监管管辖权”，加密平台可依据其交易数字商品或证券的性质，选择向CFTC或证券交易委员会（SEC）注册。法案还包括：要求加密平台受《银行保密法》监管；对部分DeFi操作和钱包提供商免于SEC监管；禁止未来要求托管公司将客户资产记入自身资产负债表的监管尝试；并将支付稳定币的部分交易监管权授予现有的相关监管机构。此外，法案要求CFTC定义“合格数字资产托管人”的标准，并要求SEC、CFTC和财政部一年内提交关于DeFi的研究报告。法案若通过，所有监管规则将在一年内生效。政策 ▌美SEC明确三类权益质押活动不构成证券发行和销售美国证券交易委员会（SEC）企业融资部5月29日发布声明称，PoS网络中“权益质押活动”不涉及《1933年证券法》第2(a)(1)条或《1934年证券交易法》第3(a)(10)条意义上的证券发行和销售。参与此类活动的个人和实体无需为此类交易在SEC注册，也无需适用注册豁免条款。该声明涵盖三类协议质押形式：（1）节点运营者质押其自有加密资产的“自我质押”；（2）资产持有者通过第三方节点运营者进行的“自我托管质押”；（3）由托管机构代表客户出借加密资产并进行质押的“托管安排”。声明文件强调，“权益质押奖励属于PoS网络根据其底层协议向验证者提供的服务回报，而非来源于他人创业或管理努力的利润”。 ▌SEC与Kraken母公司会面，讨论代币化与质押服务监管路径据 SEC 官网备忘录，美国证券交易委员会（SEC）加密资产工作组与Payward, Inc.（Kraken 母公司）代表举行会议，讨论加密资产监管相关问题。会议议题包括传统资产的代币化及其在其他司法辖区的推进方式、美国境内推动代币化的可行路径，以及「质押即服务」的不同类型、对生态系统的潜在益处和 SEC 如何在现有权限下对相关业务提供监管明确性。 ▌香港《稳定币条例》正式成为法例金色财据报道，香港特别行政区政府今日(5月30日)在宪报刊登《稳定币条例》，意味着《稳定币条例》正式成为法例，进一步完善香港的数字资产活动监管框架。香港立法会在5月21日正式通过条例草案用以在香港设立法币稳定币(挂钩法定货币的稳定币)发行人的发牌制度。根据条例，为了加强保障公众，只有指定的持牌机构才可以在香港销售法币稳定币;只有持牌发行人所发行的法币稳定币，才可以销售予零售投资者。香港金管局提醒，稳定币条例将在今年稍后时间正式生效目前没有向任何稳定币发行人发出牌照。市民应该仔细辨别与法币稳定币相关的信息，谨防不法之徒利用虚假广告进行诈骗。 ▌纽约市审计长否决比特币市政债券计划纽约市审计长Brad Lander否决市长Eric Adams提出的发行比特币支持的市政债券提案。Lander表示：“在我任期内，美国最大城市不会发行比特币支持的债券。” ▌美国法官拒绝命令司法部复查Roman Storm案材料负责Tornado Cash开发者Roman Storm案的联邦法官拒绝命令司法部复查案件记录，以寻找是否存在可能帮助Storm辩护团队的材料。区块链应用 ▌哈萨克斯坦将启动加密货币支付与应用试点区哈萨克斯坦总统托卡耶夫表示，哈萨克斯坦计划启动一项名为“CryptoCity”的加密试点区，允许使用加密货币购买商品和服务。相关声明于 5 月 29 日发布在总统官网上。托卡耶夫在 2025 年阿斯塔纳国际论坛上表示，该试点区将在受监管的沙盒环境中探索加密货币的采用。他说：“我们计划创建一个名为 CryptoCity 的开创性试点区，在这里可以使用加密货币购买商品、服务，甚至实现更广泛的用途。” ▌迪拜土地局推出基于XRP Ledger的房产代币化平台，预计2033年达160亿美元规模迪拜土地局（DLD）与房地产金融科技公司Prypco和基础设施提供商Ctrl Alt合作，推出首个房地产代币化平台Prypco Mint。该平台将房产所有权契约代币化，并同步官方房地产记录，部署于XRP Ledger区块链。此举是政府支持项目的一部分，预计到2033年将代币化迪拜房地产市场的7%，即160亿美元。平台目前仅支持阿联酋迪拉姆交易，仅限阿联酋身份证持有者使用，未来将拓展全球访问权限。Zand数字银行担任其银行合作伙伴，监管由阿联酋中央银行、迪拜虚拟资产监管局（VARA）及迪拜未来基金会的房地产沙盒负责。 ▌Conduit完成3600万美元A轮融资，Dragonfly Capital领投稳定币公司 Conduit 完成 3600 万美元 A 轮融资，Dragonfly Capital 领投，Sound Ventures、Altos Ventures、DCG 和 Commerce Ventures 等参投。本轮 A 轮融资完成后，Conduit 的总融资额达到 5300 万美元。该公司并未披露本轮融资的估值。 ▌游戏发行平台Oncade完成400万美元融资，a16z Crypto CSX领投 5月29日消息，据官方消息，游戏发行平台Oncade宣布完成400万美元融资，由a16z Crypto CSX领投。 Oncade致力于重塑游戏分发模式，通过将热情的社区转变为强大的分发渠道，帮助游戏工作室提升销售和用户参与度。该平台采用按销售付费模式，可为游戏工作室节省高达30%的传统平台费用。同时，玩家可通过向好友推广喜爱的游戏来获得收益。 ▌Donut Labs完成700万美元种子轮融资，红杉资本等领投 Donut Labs 宣布完成 700 万美元种子轮融资，红杉资本、Bitkraft 和 HackVC 领投，Matrix Partners、Sky9 Ventures、Makers Fund 和 SonicSVM 等参投，新资金将用于支持 Donut 的开发，这是一款由人工智能代理驱动的可执行加密浏览器，具有原生加密货币钱包和去中心化交易所集成、去中心化网络访问和链上执行。加密货币 ▌FTX债权人代表：Kraken已向债权人发布资金分配通知 FTX 债权人代表 Sunil 在社交平台上表示，Kraken 已向 FTX 债权人发布资金分配通知，FTX 美国债权人资金分配时间为 2025 年 5 月 30 日，债权总额约合 3.12 亿美元，FTX 国际债权人资金分配时间为 2025 年 6 月 2 日。此前今早消息，FTX 宣布已开始向已完成分配前置要求的“便利类”和“非便利类”债权持有人发放第二轮超 50 亿美元的分配款项，客户预计将在今日起的 1 至 3 个工作日内收到资金。 ▌慢雾余弦：EIP-7702新机制被盗币团伙大量使用慢雾余弦在 X 平台发文表示，EIP-7702 这种新机制用的“最High”的居然是盗币团伙（不是钓鱼团伙），方便从泄露私钥/助记词的钱包地址里自动转走相关资金…超过 97%的 EIP-7702 delegations 授权给了这类盗币合约。 ▌Arkham：巨鲸James Wynn地址当前持仓余额仅剩16.28美元链上情报分析平台 Arkham 在 X 平台发文表示，巨鲸 James Wynn 地址当前持仓余额仅有 16.28 美元，疑似已完全被清算。 ▌美国比特币现货ETF共持有约120.5万枚BTC，贝莱德IBIT以约66万枚位居第一据 HODL15Capital 数据，截至今日，美国比特币现货 ETF 共持有 1,205,626 枚 BTC，贝莱德 IBIT 以 660,814 枚持有量位居第一，富达 FBTC 和灰度 GBTC 以 198,159 枚和 186,622 枚分列二三。 ▌巨鲸James Wynn：多个交易所账户遭无故关闭，或通过法律途径要求解封巨鲸James Wynn在X平台发文表示，自己正在被某些交易所打击，但会反击，他写道：“我的多个交易所账户一夜之间被无缘无故地关闭，知道为什么吗？因为我支持去中心化，反对腐败。我支持HyperLiquid，反对做市操纵。来找我吧，我的记录干净、交易干净、‘资金来源’合法、税都交了，数百万。我会找律师，这些交易所应该解封我的账户，不然就公开他们。” 重要经济动态 ▌美财长称中国贸易谈判“有点停滞”，外交部回应在5月30日举行的中国外交部例行记者会上，外交部发言人林剑在回应外媒记者相关提问时表示，中方已多次阐明了在关税问题上的立场，具体问题建议你向中方的主管部门询问。（澎湃） ▌三菱日联：美联储降息太晚可能导致美元走弱三菱日联分析师德里克・哈尔彭尼在报告中指出，美联储可能需要在今年晚些时候通过降息来支持经济，这可能导致美元走弱。他表示，美联储的降息暂停可能持续到夏季，市场预计9月前不会再次降息。这意味着美联储在将利率恢复到既不刺激也不拖累经济增长的中性水平方面，可能会大幅落后于其他G10央行。这意味着美联储届时需要采取更多宽松举措，我们认为这将成为今年晚些时候压制美元的一个因素。(金十) ▌美国国债扩大涨幅，10年期收益率现报4.409% 美国国债扩大涨幅，2年期收益率报3.924%，10年期收益率现报4.409%。(金十) ▌特朗普称将把进口钢铁关税提高至50% 美国总统特朗普当地时间30日表示，将把进口钢铁的关税从25%提高至50%。特朗普2月10日签署行政命令，宣布对所有进口至美国的钢铁和铝征收25%的关税。当地时间3月12日，特朗普对所有进口至美国的钢铁和铝征收25%关税的举措正式生效。 ▌下周重要事件与数据预告：美联储官员密集讲话，美国5月非农数据公布以下是新的一周里市场将重点关注的要点（均为北京时间）：下周美联储鲍威尔在内的多位官员密集讲话：周一08:00，美联储理事沃勒在2025年韩国央行国际会议上就经济前景发表讲话；周二00:45，2025年FOMC票委、芝加哥联储主席古尔斯比参与一场问答活动；周二01:00，美联储主席鲍威尔在一场活动上致开幕词；周三00:45，2025年FOMC票委、芝加哥联储主席古尔斯比参与一场问答活动；周三20:30，2027年FOMC票委、亚特兰大联储主席博斯蒂克、美联储理事丽莎·库克出席“美联储倾听”的活动；周四02:00，美联储公布经济状况褐皮书；周五00:00，美联储理事库格勒在纽约经济俱乐部发表讲话；周五01:30，2026年FOMC票委、费城联储主席哈克就经济前景发表讲话；周五20:30，美国公布5月失业率、美国5月季调后非农就业人口、美国5月平均每小时工资年率/月率数据。根据彭博调查的中值，在3月和4月的就业增长超预期后，经济学家认为5月将增加12.5万人。这将使过去三个月的平均增幅保持在16.2万的稳健水平。失业率保持在4.2%。

Cetus 遭 2.3 亿美元攻击，慢雾揭秘闪电贷攻击的「精密陷阱」撰文：Victory & Lisa 背景 5 月 22 日，据社区消息，SUI 生态上的流动性提供商 Cetus 疑似遭攻击，流动性池深度大幅下降，Cetus 上多个代币交易对出现下跌，预计损失金额超过 2.3 亿美元。随后，Cetus 发布公告称：「我们协议中检测到了一起事件，安全起见，智能合约已暂时暂停。目前，团队正在对该事件展开调查。我们很快会发布进一步的调查声明。」事件发生后，慢雾安全团队第一时间介入分析，并发布安全提醒。以下是对攻击手法及资金转移情况的详细解析。 (https://x.com/CetusProtocol/status/1925515662346404024) 相关信息其中一笔攻击交易： https://suiscan.xyz/mainnet/tx/DVMG3B2kocLEnVMDuQzTYRgjwuuFSfciawPvXXheB3x 攻击者地址： 0xe28b50cef1d633ea43d3296a3f6b67ff0312a5f1a99f0af753c85b8b5de8ff06 被攻击的池子地址： 0x871d8a227114f375170f149f7e9d45be822dd003eba225e83c05ac80828596bc 涉及代币： haSUI / SUI 攻击分析此次事件的核心是攻击者通过精心构造参数，使溢出发生但又能绕过检测，最终用极小的 Token 金额即可换取巨额流动性资产，以下为具体步骤解析： 1.攻击者首先通过闪电贷借出了10,024,321.28 个 haSUI，导致池子价格从18,956,530,795,606,879,104暴跌至18,425,720,184762886，价格下跌幅度达到99.90%。 2.攻击者精心选择了一个极窄的价格区间开立流动性头寸： Tick 下限：300000（价格：60,257,519,765,924,248,467,716,150） Tick 上限：300200 （价格：60,863,087,478,126,617,965,993,239）价格区间宽度：仅1.00496621% 3.接着就是此次攻击的核心，攻击者声明要添加10,365,647,984,364,446,732,462,244,378,333,008单位的巨大流动性，但由于存在漏洞，系统只收取了1 个代币 A。我们来分析一下攻击者为什么能够用1 个 Token 兑换出巨额流动性。其核心原因在于 get_delta_a函数中的 checked_shlw 存在溢出检测绕过漏洞。攻击者正是利用了这一点，使得系统在计算实际需要添加多少 haSUI 时出现了严重偏差。由于溢出未被检测，系统误判了所需 haSUI 的数量，导致攻击者仅需极少的 Token，就能兑换出大量的流动性资产，从而实现了攻击。当系统计算添加如此巨大流动性需要多少 haSUI 时：这里的关键在于 checked_shlw 函数的实现存在严重缺陷。实际上，任何小于 0xffffffffffffffff 192 的输入值都会绕过溢出检测。然而，当这些值被左移 64 位时，结果会超出 u256 的表示范围，此时高位数据被截断，导致得到的结果远小于理论值。这样一来，系统在后续计算中就会低估所需的 haSUI 数量。错误掩码：0xffffffffffffffff 192= 非常大的数值（约2^256-2^192）几乎所有输入都小于这个掩码，绕过溢出检测真正的问题：当n = 2^192时，n 64会超出u256 范围并被截断攻击者构造的中间值liquidity * sqrt_price_diff =6277101735386680763835789423207666908085499738337898853712：小于错误掩码，绕过溢出检测但在左移64 位后会超出 u256 最大值，从而导致超出的部分被截断导致最终计算结果约小于1，但由于是向上取整，quotient算出来就等于1 4.最后攻击者移除流动性，获得巨额代币收益：第一次移除：获得10,024,321.28 个 haSUI 第二次移除：获得1个haSUI 第三次移除：获得10,024,321.28 个 haSUI 5.攻击者归还闪电贷，净获利约10,024,321.28个haSUI 和5,765,124.79 个SUI，攻击完成。项目方修复情况攻击发生后，Cetus 发布了修复补丁。具体修复代码可参考。修复后的checked_shlw函数如下：修复说明：将错误的掩码 0xffffffffffffffff 192 修正为正确的阈值 1 192 将判断条件从 n mask 修正为 n = mask 确保当左移 64 位可能导致溢出时，能正确检测并返回溢出标志 MistTrack 分析据分析，攻击者 0xe28b50cef1d633ea43d3296a3f6b67ff0312a5f1a99f0af753c85b8b5de8ff06 获利约 2.3 亿美元，包括 SUI、vSUI、USDC 等多种资产。我们发现攻击者在两天前就准备好了 Gas Fee，然后在攻击之前进行了一次尝试，但失败了：获利后，攻击者将部分资金如 USDC、SOL、suiETH 通过跨链桥如 Sui Bridge、Circle、Wormhole、Mayan 跨链到 EVM 地址 0x89012a55cd6b88e407c9d4ae9b3425f55924919b：其中，5.2341 WBNB 跨链到了 BSC 地址 0x89012a55cd6b88e407c9d4ae9b3425f55924919b：接着，攻击者将价值 1,000 万美元的资产存入 Suilend：攻击者还将 24,022,896 SUI 转入新地址 0xcd8962dad278d8b50fa0f9eb0186bfa4cbdecc6d59377214c88d0286a0ac9562，目前暂未转出：幸运的是，据 Cetus 称，在 SUI 基金会及其他生态系统成员合作下，目前已成功冻结了在 SUI 上的 1.62 亿美元的被盗资金。 (https://x.com/CetusProtocol/status/1925567348586815622) 接下来，我们使用链上反洗钱与追踪工具 MistTrack 分析 EVM 上接收跨链资金的地址 0x89012a55cd6b88e407c9d4ae9b3425f55924919b。该地址在 BSC 上收到 5.2319 BNB，暂未转出：该地址在 Ethereum 上收到 3,000 个 USDT、4,088 万个 USDC、1,771 个 SOL 和 8,130.4 个 ETH。其中，USDT、USDC 和 SOL 通过 CoW Swap、ParaSwap 等兑换为 ETH：接着，该地址将 20,000 ETH 转入地址 0x0251536bfcf144b88e1afa8fe60184ffdb4caf16，暂未转出：目前该地址在 Ethereum 上的余额为 3,244 ETH： MistTrack 已将以上相关地址加入恶意地址库，同时，我们将对持续对地址余额进行监控。总结本次攻击展示了数学溢出漏洞的威力。攻击者通过精确计算选择特定参数，利用 checked_shlw 函数的缺陷，以 1 个代币的成本获得价值数十亿的流动性。这是一次极其精密的数学攻击，慢雾安全团队建议开发人员在智能合约开发中严格验证所有数学函数的边界条件。

慢雾：被盗急救指南之链上留言 —— BTC 篇作者：Lisa 编辑：Sherry 背景链上留言，作为区块链世界中的特殊沟通方式，近年来在各类安全事件中频繁被使用，例如近期慢雾(SlowMist) 协助 KiloEx通过链上留言方式与攻击者展开多轮沟通，最终成功促成了全部被盗资金 844 万美金的归还。在匿名环境下，链上留言可作为建立初步对话的有效工具，为后续资金追回打下基础。在我们此前发布的《被盗急救指南之链上留言》文章中，详细介绍了以太坊上的留言方式。比特币网络同样支持链上留言，但两者的实现方式略有不同。比特币链上留言的核心工具是 OP_RETURN 指令。它允许用户在交易中嵌入 80 字节的自定义数据，这部分数据不会被节点用于交易验证，也不会影响 UTXO 的状态，纯粹用于记录信息，会被完整记录在区块链中。如何使用 OP_RETURN 进行链上留言步骤一：对留言内容进行编码首先，将需要发送的文本信息转换为十六进制(HEX) 格式。比特币链上的 OP_RETURN 指令仅接受 HEX 格式数据。例如，如果要留言： This is a test. 转换后的 HEX 为： 54686973206973206120746573742e 可使用在线格式转换工具或通过 Python 脚本完成： text ="Hello, this is a test." hex_text = text.encode("utf-8").hex() print(hex_text) 留言内容必须少于 160 个十六进制字符，即 80 个字节，超出长度时建议简化信息或分多笔留言发送。步骤二：构建带 OP_RETURN 的交易接下来，需要使用支持自定义交易的比特币钱包或工具，创建一笔含有 OP_RETURN 输出的交易。以 Bitcoin Core 为例，使用 createrawtransaction 手动添加 OP_RETURN 输出： bitcoin-cli createrawtransaction '[{"txid":"your_input_txid","vout":0}]' '[{"data":"54686973206973206120746573742 e"}]' 这样构建出的交易将不会实际转账，而只会在链上写入这段留言。再以 imToken 钱包为例，进入 BTC 钱包转账界面，打开「高级模式」。在「OP_RETURN」输入框中输入十六进制信息。点击「下一步」完成交易信息确认，输入交易密码就能成功发送带有 OP_RETURN 信息的交易，请确保「输入金额 = 输出金额 + 矿工费」。步骤三：广播交易将已签名的交易通过 Bitcoin 网络广播。由于 OP_RETURN 交易不会实际转账，因此必须包含矿工费才能处理，等待矿工打包进区块，交易一旦确认，留言便永久保存在比特币区块链中。步骤四：查看留言内容完成交易后，将获得一个 TXID，可以通过区块浏览器查看该笔交易，浏览器通常会自动将 OP_RETURN 十六进制数据解码回 ASCII，例如： (https://mempool.space/tx/f4ac7abcb689df30ec5e8d829733622f389ca91367c47b319bc582e653cd8cab) OP_RETURN 应用在安全事件中，某些攻击者会在链上用 OP_RETURN 留言，主动向项目方表达归还资金的意向，或者项目方和白帽团队也用这种方式向攻击者喊话，试图建立联系。除了应用于谈判的场景外，OP_RETURN 也被用于「标记」操作。例如，Chainalysis 曾披露，在 2022 年俄乌战争爆发前夕，一位身份不明的比特币用户利用 OP_RETURN 链上留言，标记了近 1000 个疑似与俄罗斯安全部门有关联的地址。这些留言采用俄语编写，直接指出这些地址可能参与了网络攻击或间谍活动： "GRU to SVR. Used for hacking!" "GRU to GRU. Used for hacking!" "GRU to FSB. Used for hacking!" "Help Ukraine with money from the GRU Khakir" (https://mempool.space/address/1CMugHhsSf8Bzrp142BpvUynWBR1RiqMCk) 这位用户在发布这些警示时，并非只是单纯留言，而是配合烧毁了大量比特币。由于 OP_RETURN 输出的特性，任何发送到这类交易中的比特币都会被烧毁，无法使用。据统计，这名用户在这一系列操作中烧毁了价值超过 30 万美元的比特币。总结链上留言，特别是在比特币网络中的 OP_RETURN，提供了一种匿名、公开且不可篡改的沟通方式，广泛应用于资金追回初期的接触与信息传递。不过需要注意，链上留言也可能被攻击者用于引导受害者访问恶意链接或执行风险操作（如输入私钥解密等），因此务必保持警惕，避免在不受信任设备上查看和处理可疑信息。遇到安全事件时，建议第一时间联系专业安全团队协助分析，提升资金追回成功率。同时，用户和项目方应持续加强安全防护意识，避免成为攻击目标。慢雾科技SlowMist2025/04/23 18:07

慢雾：Web3 钓鱼手法解析撰文：慢雾安全团队近期，慢雾 (SlowMist) 受邀参加 DeFiHackLabs 举办的 Ethereum Web3 Security BootCamp。作为演讲嘉宾，慢雾安全审计负责人 Thinking 从「伪、饵、诱、攻、隐、技、辨、御」八个章节，结合实际案例，带领学员深入了解钓鱼黑客的作恶方式及隐匿手段，并提出了相关防范措施。钓鱼是行业重灾区之一，知己知彼，才好做好防御工作。本文将提取分享会中的关键内容，帮助用户了解钓鱼攻击的现状和有效规避钓鱼攻击威胁。为什么会被钓鱼 Web3 世界中，钓鱼攻击已成为主要的安全威胁之一。我们先来看下，用户为什么会被钓鱼。其实，即使安全意识较高的用户有时也会发出「常在河边走，哪有不湿鞋」的感概，毕竟一直保持最高警惕性是很难做到的。攻击者通过分析近期热点项目及社区活跃情况、用户规模等因素，选择高关注度的目标并精心伪装，再通过空投、高收益等诱饵吸引用户上钩。这些攻击手法通常伴随社会工程学，攻击者十分善于利用用户心理实现诈骗目标：利诱：Airdrop 资格白名单，挖头矿，财富密码等。好奇 / 贪婪：无惧卖飞的逃顶策略，不容错过潜在 100 倍币，今晚 10 点不见不散，会议链接 https://us04-zoom[.]us/（恶意）；$PENGU 空投白名单不容错过，https://vote-pengu[.]com/（恶意）。恐惧：紧急告警：XX 项目被黑，请使用 revake[.]cash（恶意）取消授权，避免资金损失。高效工具：薅空投工具，AI 量化工具，一键挖矿薅羊毛等。攻击者费功夫制造并投放诱饵无非是因为有利可图，通过以上手段，攻击者便能轻松获取用户的敏感信息 / 权限，进而盗取用户资产：盗取助记词 / 私钥：欺骗用户输入助记词或私钥。欺骗用户使用钱包签名：授权签名，转账签名等。盗取账号密码：Telegram，Gmail，X，Discord 等。盗取社交应用权限：X，Discord 等。诱导安装恶意程序：假钱包 APP，假社交 APP，假会议 APP 等。钓鱼手段接下来，我们看看常见的钓鱼手段有哪些：盗取账号 / 高仿账号近期 Web3 项目方 /KOL 的 X 账号被盗事件频发，攻击者盗取账号后常推广虚假代币，或是在发布的「好消息」里构建相似的域名诱骗用户点击。当然，也存在域名是真实的情况，因为攻击者可能接管了项目方的域名。一旦受害者点进钓鱼链接，进行签名或者下载恶意软件，便会被盗。除了盗取账号的方式，攻击者在 X 上还常利用高仿的账号在真实账号的评论区留言以诱导用户。慢雾安全团队曾做过针对性的分析统计：约有 80% 的知名项目方在发布推文后，评论区的第一条留言会被诈骗钓鱼账号所占据。攻击者利用自动化机器人关注知名项目方动态，在项目方发布推文后，钓鱼团伙的机器人会自动化第一时间留言以确保占据第一条留言位置，蹭到高浏览量。由于用户正在浏览的帖子是真实项目方发送的，且经过伪装后的钓鱼团伙账号和项目方的账号高度相似，这时只要用户警惕性不够，点击高仿账号里空投等名义的钓鱼链接，然后授权、签名，便会损失资产。攻击者还会冒充管理员发布假消息，尤其是在 Discord 上这种现象更为常见。Discord 支持用户自定义昵称和用户名，于是攻击者将头像和昵称改成与管理员一致的，然后在频道内发布钓鱼信息或者私信用户，用户不点开账号的资料查看用户名的话，很难发现问题。此外，虽然 Discord 用户名不可重复，但攻击者可以使用与管理员用户名高度相似的名字，比如仅在用户名中多添加个下划线或者一个英文句号，使得用户难辨真假。邀约钓鱼攻击者常通过和受害者在社交平台建立联系，向用户推荐「优质」项目或者邀请用户参加会议，引导受害者访问恶意的钓鱼站点，下载恶意的应用程序，此前便有用户因为下载了假 Zoom 导致被盗的情况。攻击者使用形如「app[.]us4zoom[.]us」的域名伪装成正常 Zoom 会议链接，页面与真 Zoom 高度相似。当用户点击「启动会议」按钮，便会触发下载恶意安装包，而非启动本地 Zoom 客户端或下载 Zoom 的官方客户端。由于恶意程序在运行时就诱导用户输入密码，并且后续的恶意脚本也会采集电脑中插件钱包数据和 KeyChain 数据（可能包含用户保存在电脑上的各种密码），攻击者收集后就会尝试解密数据，获得用户的钱包助记词 / 私钥等敏感信息，从而盗取用户的资产。利用搜索引擎排名由于搜索引擎的排名结果可以通过购买 ad 推广来提升，这也就导致钓鱼网站排名可能还比真官网靠前的情况，用户在不清楚官网网址的情况下，仅凭网站的展示页面很难判断出这是不是个钓鱼网站，并且钓鱼网站在 Google Ads 推广功能中可以自定义 ad 展示的 URL，在 Sponsored 中展示的 URL 可能和官方的 URL 完全一致，但是用户点击 ad 的 URL 会跳转到攻击者构建的钓鱼网站中。由于攻击者制作出的钓鱼网站与真官方网站极为相似，可以以假乱真，因此不建议用户直接通过搜索引擎找官网，这样很有可能会进到钓鱼网站。 TG 广告近期因为假冒的 TG Bot 而受损的用户大幅增加，多位用户报告在使用交易机器人时，频道顶部出现了一个新的机器人，以为是官方新推出的，于是点进新机器人导入私钥绑定钱包，结果被盗。攻击者利用 Telegram 精准投放广告至官方的频道，引诱用户点击。这类钓鱼手法隐蔽性较高，由于这个广告出现在官方频道，用户很容易下意识认为是官方发布的机器人，一旦警惕性不够，点进了钓鱼 Bot，上传私钥进行绑定，便会被盗。此外，我们近期还披露了一种新型手法｜Telegram 假 Safeguard 骗局，不少用户因为按照攻击者的教程运行了恶意代码导致被盗。 APP 商城应用商城（Google Play，Chrome Store，App Store，APKCombo 等）上的软件并不都是正版，很多时候商城没有办法对软件进行完全的审核。一些攻击者通过购买关键词排名引流等方式诱导用户下载欺诈 App，请广大读者注意甄别，在下载前，一定要先查看应用开发者信息，确保其与官方公布的开发者身份一致，还可以参考应用评分、下载量等信息。钓鱼邮件邮件钓鱼是最经典的套路，可以说是「朴实无华」，攻击者使用钓鱼模板，再加上 Evilngins 反向代理，就可以构建类似下图中的邮件：用户点击「VIEW THE DOCUMENT」后，便会跳转到虚假的 DocuSign 界面（现已无法打开），随后如果用户在该界面点击谷歌登录，便会跳转到被反向代理的谷歌登录窗口，一旦输入账号、密码、2FA，账号便被攻击者接管。上图中的钓鱼邮件显然处理得不够精细，因为发送方的邮箱地址并未进行伪装，我们看下图中的攻击者是如何伪装的：攻击者的邮箱地址仅比官方的地址多了个小点，攻击者通过 DNSTwist 可以找到 Gmail 支持的特殊字符，不仔细看的话还以为是电脑屏幕不干净。利用浏览器特性详情见慢雾：揭露浏览器恶意书签如何盗取你的 Discord Token。防御挑战攻击者的手段在不断进化，整体上往精细化，模板化的方向发展。此前我们分析发现，攻击者不但能够制造出与知名项目方官网高度相似的网页和接管项目方的域名，还出现了一整套项目都是虚构的情况，虚假项目不但在社交媒体上有着众多粉丝（买的），甚至还有 GitHub 仓库，这给用户识别钓鱼威胁带来了更大的挑战。此外，攻击者对匿名工具的熟练运用也使得追踪他们的痕迹变得更为困难复杂。攻击者为隐匿身份，常使用 VPN、Tor、甚至控制被黑的主机实施恶意行为。有了匿名身份后，攻击者为构建钓鱼网络，还需要采购基础服务设施，如 Namecheap，支持加密货币付款，有些服务仅需一个邮箱便可注册，无需 KYC 验证，攻击者也就能避免身份被追踪到。在上述基础准备好后，攻击者便可发动钓鱼攻击。获利后的资金再利用 Wasabi、Tornado 等服务混淆资金路径。为进一步增强匿名性，还可能将资金再换为门罗币等具有高度匿名性的加密货币。为避免留下样本和证据，攻击者会扫清痕迹，删除相关域名解析、恶意程序、GitHub 仓库、平台账号等，这也就导致安全人员在分析事故时常碰见钓鱼网站已经打不开，恶意程序已无法下载的情况，增加了分析和追踪难度。防御策略用户可以根据上图中的特征来识别钓鱼威胁，并掌握验证信息真伪的基本方式，还可以使用一些防御工具提高防钓鱼能力：钓鱼风险阻断插件：如 Scam Sniffer 可以多维度检测风险，用户在打开可疑的钓鱼页面时，工具会及时弹出风险提示。交互安全性高的钱包：如 Rabby 的观察钱包（无需私钥）、钓鱼网站识别、所见即所签、高风险签名识别、历史记录 Scam 识别等功能。国际知名杀毒软件：如 AVG、Bitdefender、Kaspersky 等。硬件钱包：硬件钱包提供了一种离线存储私钥的方式，使用硬件钱包和 DApp 进行交互的时候，私钥不会暴露在网上，有效降低资产被盗风险。写在最后在区块链黑暗森林中，钓鱼攻击无处不在。修行就在起心动念处，需要看好自己的心念，避免于境「起心动念」而不自觉。行走于区块链黑暗森林，最根本的是要养成保持零信任和持续验证的习惯，建议大家深度阅读并逐步掌握《区块链黑暗森林自救手册》。由于篇幅限制，本文仅介绍分享会中的主要内容，近七十页的 PPT 现已公开。

慢雾出品 | 2024 区块链安全与反洗钱年度报告由于篇幅限制，本文仅罗列分析报告中的关键内容，完整内容可通过文末 PDF 下载。一、概述 2024 年，区块链行业在安全与创新的交锋中前行。在这个背景下，本报告回顾了 2024 年区块链行业关键监管合规政策及反洗钱动态，总结了 2024 年区块链安全事件并对典型欺诈手法进行了梳理。此外，我们还邀请了 Web3 反诈骗平台 ScamSniffer 撰写关于钓鱼 Wallet Drainers 的内容，同时，我们对朝鲜黑客的洗钱手法和获利情况进行了分析和统计。我们期望这份报告为读者提供有益的信息，帮助从业者和用户更全面地了解区块链安全现状及解决方案，为促进区块链生态的安全发展贡献一份力量。二、区块链安全态势根据慢雾区块链被黑事件档案库(SlowMist Hacked) 统计，2024 年共发生安全事件 410 起，损失高达 20.13 亿美元。对比 2023 年（共 464 件，损失约 24.86 亿美元），损失同比下降 19.02%。注：本报告数据基于事件发生时的代币价格，由于币价波动和部分未公开事件的损失未纳入统计等因素，实际损失应高于统计结果。 (https://hacked.slowmist.io/statistics/?c=all&d=2024) 区块链安全事件总览从项目赛道来看，DeFi 仍然是最常受到攻击的领域。2024 年 DeFi 安全事件共 339 件，占总安全事件数的 82.68%，损失高达 10.29 亿美元，对比 2023 年（共 282 件，损失约 7.73 亿美元），损失同比上升 33.12%。 (2024 各赛道安全事件分布及损失) (2023 和 2024 DeFi 安全事件分布及损失对比图) 从生态来看，Ethereum 损失最高，达 4.65 亿美元。其次是 BSC，达 8,735 万美元。（2024 各生态安全事件分布及损失）从事件原因来看，合约漏洞导致的安全事件最多，达 99 件，导致损失约 2.14 亿美元。其次为账号被黑导致的安全事件。（2024 安全事件手法图）典型攻击事件此节选取了 2024 年损失 Top10 的安全攻击事件。详情见文末的 PDF 文件内容。（2024 损失 Top10 的安全攻击事件） Rug Pull Rug Pull 是一种骗局，其本质是恶意项目方造势吸引用户投资，等到时机成熟便“拉毯子”，卷款跑路。根据慢雾区块链被黑事件档案库(SlowMist Hacked) 统计，2024 年 Rug Pull 事件高达 58 起，导致损失约 1.06 亿美元。其中，zkSync 生态损失最高，达 3,695 万美元，BSC 生态发生了最多的跑路事件，达 28 起。（2024 损失 Top10 的跑路事件）（2024 各生态跑路事件分布及损失）随着 Meme 币热潮的到来，许多用户在投机和 FOMO 情绪驱使下，忽视了潜在风险。一些发币方甚至无需向用户描绘愿景或提供白皮书，仅凭一个概念或口号，便能炒作出热度吸引用户购买代币。低廉的作恶成本导致跑路事件层出不穷。用户资金被恶意项目方 Rug 后，往往面临漫长且困难的追回过程。对此，慢雾安全团队建议用户在参与项目之前，充分了解项目的背景和团队信息，谨慎选择投资项目，以规避潜在风险。钓鱼注：本小节专注分析 EVM 兼容链上的 Wallet Drainer 攻击，由 ScamSniffer 倾情撰写，在此表示感谢。 Wallet Drainer 是一种部署在钓鱼网站上，通过诱导用户签署恶意交易来盗取加密资产的攻击方式。2024 年，此类攻击造成约 4.94 亿美元损失，同比增长 67%。虽然受害者数量仅增长 3.7%（达到 33.2 万地址），但单次攻击损失显著增加，最大单笔被盗金额达 5,548 万美元。（2024 年 Wallet Drainer 攻击的关键数据指标） 1. 重要节点 Pink 退出（5 月底）：市占 28%，份额被 Inferno 吸收。 Angel 接管 Inferno（10 月底）：Angel 份额下降，Inferno 维持 40-45% 市占。 2. 市场格局演变 Q1-Q2：三大主导（Angel：42%，Pink：28%，Inferno：22%） Q3：双头竞争（Inferno：43%，Angel：25%） Q4：新格局（Inferno 及 Angel：45%，Acedrainer：20%，其他新 Drainer：25%）截至 2024 年，基于钓鱼签名的已知损失达 7.9 亿美元。尽管下半年此类攻击有所减少，但这可能预示着攻击者正在转向其他攻击方式，如恶意软件等更具隐蔽性的手段。随着 Web3 生态的发展，保护用户资产安全的挑战依然存在。无论攻击方式如何变化，持续的安全意识和防护能力建设始终是保护资产安全的关键。欺诈此节选取我们于 2024 年披露的部分欺诈手法： 1. 挖矿诈骗 2. 套利诈骗 3. 空投诈骗 4. 盗 X 行骗 5. 貔貅盘 6. 恶意木马三、反洗钱态势本节分为反洗钱及监管动态、反洗钱数据、朝鲜黑客、混币工具四部分。反洗钱及监管动态 2024 年，加密货币的监管环境发生了重大发展，其中最突出的是欧盟实施了 MiCA 法规，美国推进了稳定币立法。执法方面，今年世界各地出台了更为严格的措施来打击非法活动，稳定币监管、跨境加密政策和针对加密领域主要参与者的执法行动取得了显著进展，具体政策及执法行动见文末的 PDF。反洗钱数据 1. 资金冻结数据在 InMist 情报网络合作伙伴的大力支持下，2024 年度慢雾(SlowMist) 协助客户、合作伙伴及公开被黑事件冻结资金共计超过 1.12 亿美元。 2024 年 Tether 冻结了约 5.4 亿美元的 USDT；2024 年 Circle 冻结了约 1,336 万美元的 USDC。 (https://dune.com/misttrack/2024) 2. 资金归还数据 2024 年发生了 410 起安全事件，在遭受攻击后能全部或部分收回损失资金的事件共有 24 起，根据已披露的数据，共计约 1.66 亿美元被返还，占总安全损失（约 20.13 亿美元）的 8.25%。朝鲜黑客 2024 年，朝鲜黑客组织涉嫌多起网络盗窃案，导致数亿美元的加密货币被盗。以下是朝鲜黑客组织犯下的重要事件列表（数据来源 SlowMist Hacked）：本节着重分析朝鲜黑客的攻击手法，并以慢雾(SlowMist) 跟进的 BingX 事件为例介绍朝鲜黑客的洗钱方法。混币工具 1. Tornado Cash (https://dune.com/misttrack/2024) 2. eXch (https://dune.com/misttrack/2024) 3. Railgun Railgun 已实施私人无罪证明(PPOI)，利用零知识证明确保用户能够在不损害隐私的情况下验证其资金与非法活动无关。这项创新在隐私和合规性之间取得了关键的平衡，使恶意行为者更难利用该平台洗钱。四、总结 2024 年，区块链行业在持续创新和变革的浪潮中面临新的机遇与挑战；种种安全事件和反洗钱动态为我们提供了深刻的警示，也促使我们更加重视行业规范与技术保障；通过对 2024 年区块链安全事件和洗钱案例的分析，我们希望能够唤起各方对行业安全的重视。未来，随着监管框架逐步完善以及技术手段的不断升级，我们有理由相信，区块链行业将朝着更加安全、透明和合规的方向迈进。希望这份报告能为读者提供有价值的信息，帮助读者更全面地了解区块链行业的安全和反洗钱现状，也期待我们共同努力，为建设一个更加安全、稳定和可信的区块链生态贡献力量。五、免责声明本报告内容基于我们对区块链行业的理解、慢雾区块链被黑档案库 SlowMist Hacked 以及反洗钱追踪系统 MistTrack 的数据支持。但由于区块链的“匿名”特性，我们在此并不能保证所有数据的绝对准确性，也不能对其中的错误、疏漏或使用本报告引起的损失承担责任。同时，本报告不构成任何投资建议或其他分析的根据。本报告中若有疏漏和不足之处，欢迎大家批评指正。导读到此，完整版本的链接如下，也可直接点击阅读原文跳转，欢迎阅读并分享 :) 中文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(CN).pdf 英文：https://www.slowmist.com/report/2024-Blockchain-Security-and-AML-Annual-Report(EN).pdf

慢雾：2024 Q4 MistTrack 被盗表单分析作者 | Lisa 编辑 | Liz 自慢雾(SlowMist) 上线 MistTrack 被盗表单提交功能以来，我们每天都会收到大量受害者的求助信息，希望我们提供资金追踪和挽救的帮助，其中不乏丢失上千万美金的大额受害者。基于此，本系列通过对每个季度收到的被盗表单进行统计和分析，旨在以脱敏后的真实案例剖析常见或罕见的作恶手法，帮助行业参与者从中学习并更好地保护自己的资产。据统计，MistTrack Team 于 2024 年 Q4 季度共收到 2,077 份被盗表单，包括 335 份国内表单和 151 份海外表单，其中 1,591 份表单来自 DEXX 事件，我们为这些表单做了免费的评估社区服务。（Ps. 本文内容仅针对来自表单提交的 Case，不包括通过邮箱或其他渠道联系的 Case）本季度，MistTrack Team 协助 25 个被盗客户在 18 个平台冻结约 5,352.12 万美元的资金。被盗原因 2024 年 Q4 的作恶手法中，诈骗成为被盗原因 Top1。除了老生常谈的手法，Q4 还出现了一些新的骗局手法，我们一起来看下。 1. 恶意交易机器人多位用户报告在使用交易机器人时，频道顶部出现了一个新的机器人，以为是官方新推出的，于是点进新机器人导入私钥绑定钱包，结果被盗。仔细一看，这个机器人前面有个 Ad（advertisement）字眼，这是 Telegram 自带的广告提示，由于这个广告出现在官方频道，用户很容易下意识认为是官方发布的机器人，请大家仔细甄别。有的用户在电报里搜索知名度较高的交易机器人，在搜索结果中选择了排在最前面的机器人（恶意），然后将私钥粘贴至机器人，结果钱包里的资产在 1 分钟左右被盗走。我们建议用户在使用交易机器人时，如果遇到需要直接输入私钥的情况，多一份怀疑，选择信誉良好的交易机器人，定期检查交易机器人平台的安全性，确保使用的是最新版本，同时增强私钥管理的能力。 2. 质押返利 2024 年，用户依然面临着假冒官方群组进行质押返利的骗局。质押返利是一个非常经典的诈骗手法，通常以“官方返利活动”的名义，声称只要参与质押就能获得高额回报。诱人的回报率吸引了不少用户加入，但实际上这些“官方”并非真实的项目方。用户往合约地址打款后，收到了返利，便想投入更多的资金以获得更多的收益，此举正中骗子的圈套，最后用户投入的资金都被骗子卷走。更可恶的是，还有些骗子在给用户返利时，返回的甚至是假币，不明所以的新用户以为真的收到了返利，直到尝试交易返利的币时才发现这是假币，毫无价值。用户应特别小心，避免盲目相信“高收益”诱惑，始终通过官方渠道确认项目信息。 3. 会议木马近期，伪装成 Zoom 会议链接的钓鱼攻击频发。攻击者使用形如官方的域名伪装成正常 Zoom 会议链接，页面与官方 Zoom 会议高度相似，攻击者会伪装成投资人、知名记者等向潜在受害者发起聊天并提供恶意链接，诱使用户点击。当用户点击“启动会议”按钮，便会触发下载恶意安装包，受害者的设备会被感染恶意软件，攻击者能够远程控制设备、窃取敏感信息，甚至盗取加密货币钱包中的资产，详情见眼见不为实｜假 Zoom 会议钓鱼分析。建议广大用户提高警惕，在点击网站链接前要保留一份怀疑；安装知名杀毒软件，如卡巴斯基、AVG 等提高设备安全性，如果不幸中招，请第一时间转移钱包资金，并对个人电脑进行全面的杀毒排查。 4. 貔貅币根据表单的统计，一种常见的情况是用户被骗子的花言巧语所诱惑，继而投资了貔貅盘。具体来说，攻击者创建一个完全没有实际应用场景的代币（如貔貅币），并通过夸大其未来潜力吸引投资者。投资者被诱导在未经审查的交易平台或钱包中购买这种币种。一旦投资者购买了这些“貔貅币”，骗子会将资金直接转移至自己的钱包地址，由于貔貅币本身没有实际的市场流通，投资者无法出售或者兑换。在一些情况下，骗子会通过庞氏骗局的方式，使用新投资者的资金来支付给早期投资者，制造币种上涨的假象，从而吸引更多的投资。建议用户在参与投资前使用 Token 检测工具如 Goplus 对相关代币进行核查，最好查阅相关项目的白皮书、团队背景等信息，避免投资任何未经充分验证的 ICO 或新兴币种。 5. 在小红书上受骗近期，MistTrack Team 注意到有些用户是在小红书上遭遇的诈骗，且损失金额较大，达上百万美元。我们在小红书上搜索“加密货币”、“比特币”、“交易所”等关键词，可以看到许多用户在上面分享自己盈利/亏损的情况，比如“一天翻了 X 倍”、“勇闯币圈”、“百 U 战神”等帖子，评论区里有不少用户“求带”，在骗子眼里，这就是一大片“鱼塘”。骗子在评论区钓鱼，自称提供交易所安装服务，接下来的套路相信大家可以猜到了，用户进入 Web3 的第一步便中了骗子的圈套，下载了假的交易所，资金受损。有的骗子冒充所谓的“行业专家”或“投资达人”，向用户展示虚假的投资成功案例，建立“可信度”。接着私信向用户发送所谓的加密货币投资机会，声称有内部消息可以带领用户“稳赚不赔”，同时将沟通渠道转移到其他平台，继续行骗。请广大用户提高警惕，不要轻信他人，避免出现你想赚利息，而对方盯上本金的情况。写在最后如果您的加密货币不幸被盗，我们将免费提供案件评估的社区协助服务，仅需要您按照分类指引（资金被盗/遭遇诈骗/遭遇勒索）提交表单即可。同时，您提交的黑客地址也将同步至慢雾 InMist Lab 威胁情报合作网络进行风控。（注：中文表单提交至 https://aml.slowmist.com/cn/recovery-funds.html，英文表单提交至 https://aml.slowmist.com/recovery-funds.html）慢雾(SlowMist) 在加密货币反洗钱领域深耕多年，形成了一套完整且高效的解决方案，涵盖了合规、调查与审计三个方面，积极助力构建加密货币健康生态环境，也为 Web3 行业、金融机构、监管单位以及合规部门提供专业服务。其中，MistTrack 是一个提供钱包地址分析、资金监控、追踪溯源的合规调查平台，目前已积累三亿多个地址标签，一千多个地址实体，50 万 + 威胁情报数据，9000 万 + 风险地址，这些都为确保数字资产的安全性、打击洗钱犯罪提供有力的保护。往期回顾：慢雾：2024 Q3 MistTrack 被盗表单分析慢雾：2024 Q2 MistTrack 被盗表单分析

已经到底了

AI Web3 ETF 稳定币 Defi RWA

搜索“慢雾”共有10条相关结果

文章

专访慢雾：Kelp DAO rsETH × LayerZero 事件是 DeFi 乐高结构系统性风险的集中爆发

慢雾：Venus 用户 1300 万美元被黑深度分析

为什么在巅峰时离开慢雾

慢雾：面向香港稳定币发行人的智能合约实施指南

头条速递|慢雾余弦：助记词/私钥触网使用越久、越多人共用，越易泄露且难以排查

Cetus 遭 2.3 亿美元攻击，慢雾揭秘闪电贷攻击的「精密陷阱」

慢雾：被盗急救指南之链上留言 —— BTC 篇

慢雾：Web3 钓鱼手法解析

慢雾出品 | 2024 区块链安全与反洗钱年度报告

慢雾：2024 Q4 MistTrack 被盗表单分析