零时科技每月安全事件看点开始了！据一些区块链安全风险监测平台统计显示，2024年8月，各类安全事件损失金额较7月持续增长。8月发生较典型安全事件超28起，因黑客攻击、钓鱼诈骗和Rug Pull造成的总损失金额达3.14亿美元，较7月增长约9.7%。其中，网络钓鱼攻击成为主要威胁，占据被盗资金总额的93.5%美元。
黑客攻击方面
典型安全事件8起
(1) 8月1日，Convergence Finance 合约被盗取约 20 万美元。17 天前部署的用于分发 CVX 奖励的 Convergence Finance 合约已被攻破。攻击者铸造了 5800 万个 $CVG 代币并将其兑换为 60 WETH 和 15.9k crvFRAX。
(2) 8月6日，游戏区块链 Ronin 遭攻击，Ronin Bridge 项目出现异常提取跨链资产的行为。慢雾安全团队分析，漏洞原因是由于权重被修改为意外值，资金无需经过任何多重签名阈值检查即可提取。攻击者从桥中提取了约 4000 个 ETH 和 200 万 USDC，价值约 1200 万美元。截至 8 月 7 日，白帽归还了 1200 万美元的资产，并获得 50 万美元的漏洞赏金。
(3) 8月7日，Nexera Fundrs 因存在安全漏洞导致 NXRA 代币被盗。一个外部攻击者未经授权地访问了 Fundrs 的以太坊质押合约，转移了代币，导致约合 44.9 万美元的损失。
(4)8月13日，Vow 因合约漏洞遭攻击，损失约 120 万美元。据 VOW 消息，当时团队正在测试 v$ 合约的 USD 汇率设置功能，以便为新的借贷池和预言机功能铸造 v$。
(5)8月16日，Mantra DAO 的 DeFi 项目 Zenterest 遭受攻击。攻击者利用失真的价格来通过借贷进行获利，最终导致攻击者用极少的 MPH 掏空了项目方的 WHITE 代币。攻击者归还从 Uniswap 借到的 85 WHITE 和 0.0085 WHITE利息，最终获利 4.9 WHITE ，价值 21000 USD 。
(6) 8月19日，据链上侦探 ZachXBT 消息，一笔涉及 4064 BTC（约合 2.38 亿美元）的可疑转账可能来自一名潜在的受害者。随后资金很快被转移到 ThorChain、eXch、Kucoin、ChangeNow、Railgun 和 Avalanche Bridge。截至8月27日，已有 20.5 万美元被收回。
(7) 8月23日，BnbSmartChain 上的项目 HFLH 遭到攻击，攻击者通过此次攻击获利约 9.099 BNB 约为 5300 USD 。本次漏洞成因主要是因为 HFLH 合约在获取 HFLH Token 的价格时，通过单一来源 PancakeSwapV2 来计算，导致价格被攻击者操纵，最终利用价差套利。
(8) 8月28日，DeFi 贷款平台 Aave 因合约漏洞遭攻击，此次攻击发生在 Aave 核心协议之外的一个智能合约，该合约用于允许用户利用现有的抵押品偿还贷款。攻击者利用了一个任意调用错误，成功从这些不同的合约中盗取了约 5.6 万美元。Aave 的相关人员强调，这次攻击没有对用户资金造成风险，也没有影响核心 Aave 协议的安全。
Rug Pull / 钓鱼诈骗
典型安全事件5起
(1) 8月2日， 0x7371开头地址遭遇网络电鱼，导致损失11.9万美元。
(2) 8月13日，0xdB59开头地址遭遇网络电鱼，导致损失126.85stETH，约34.5万美元。
(3) 8月19日，0x293C开头地址遭遇钓鱼诈骗，损失3.2MEGA，约8.2万美元。
(4) 8月21日，一名受害者在签署了针对其 DeFi Saver Proxy 的网络钓鱼交易后，损失了价值 5543 万美元的 DAI。据 MistTrack 分析，这笔资金被发送到多个地址，随后大部分被兑换成 ETH。
(5) 8月23日，0xc423开头地址遭遇钓鱼诈骗，损失67stETH，约17.65万美元。
总结
从上述多个事件分析来看，8 月份发生的两起最大规模黑客攻击均涉及未经授权的转账（网络钓鱼）。除此之外，黑客的攻击对象不仅有区块链知名项目，还包括明星及传统行业的知名品牌，如足球明星 Kylian Mbappe，麦当劳等。
零时科技安全团队建议项目方始终保持警惕，提醒广大用户谨防钓鱼攻击，谨慎投资。此外也需做好内部安全培训和权限管理，在项目上线前寻找专业的安全公司进行审计并做好项目背景调查。
