零時科技每月安全事件看點開始了！根據一些區塊鏈安全風險監測平台統計顯示，2024年12月，各類安全事件損失金額較11月大幅下降。 12月發生較典型安全事件超23起，因駭客攻擊、釣魚詐騙和Rug Pull造成的總損失金額達2,860萬美元，較11月下降約55%。
駭客攻擊方面
典型安全事件7起
(1) 12月1日，安全機構fuzzland 聯創@shoucccc 發推文表示，去中心化交易平台Clipper 因API 漏洞（如私鑰洩漏）而遭到駭客攻擊。目前損失超過50 萬美元，650 萬美元面臨風險，並建議用戶立即提領。而第二天，去中心化交易所（DEX）Clipper 澄清稱，其提款功能中存在漏洞，導致其協議最近遭到駭客攻擊，損失金額達45 萬美元，而非「第三方」所說的私鑰洩漏。
(2) 12月3日，根據慢霧安全團隊監測，RunWay (BYC) 疑似在BSC 上遭攻擊，損失約10 萬美元。
(3) 12月4日，安全公司Fuzzland聯合創始人Chaofan Shou在X平台表示：「Vestra DAO剛剛遭到駭客攻擊，目前仍在繼續。已損失48萬美元，未來可能還會損失更多。建議立即撤回質押並撤回流動性。
(4) 12月10日，零時科技專案團隊監控到一起針對Base 上的專案CloberDEX 的鏈上攻擊事件，本次漏洞成因主要是因為CloberDEX 專案方合約在取得銷毀LP Token 的程式碼中沒有進行重入檢測和防護，且更新狀態變數在合約呼叫之後，最終導致攻擊者利用該重入漏洞掏空專案方的WETH 。
詳細攻擊分析可點此連結：
https://mp.weixin.qq.com/s/ff0YJBuZiaVBIIUZlarXRQ
(5) 12月15日，零時科技專案團隊監控到一起針對BnbSmartChain 上的專案DCFToken 的鏈上攻擊事件，被攻擊的專案為DCFToken ，攻擊者透過此攻擊獲利約為8800 USD 。這次漏洞成因主要是因為DCFToken 專案方合約在取得DCFToken 的價格時，透過單一來源PancakeSwapV2 來計算，導致價格被攻擊者操縱，最後利用價差套利。
詳細攻擊分析可點此連結：
https://mp.weixin.qq.com/s/DDadR1nOyYl-dPi5zwLLSQ
(6) 12月24日，根據Scam Sniffer監測，一名受害者因假冒Zoom惡意軟體損失了100萬美元，與us04-zoom[.]us威脅行為者有關。目前私鑰盜竊惡意軟體案件上升，應嚴格驗證來源，並在安裝前進行安全掃描。先前，X平台用戶Lsp（@lsp8940）發文表示，「錢包被盜損失100萬枚Usd0++，駭客偽裝了一個推特，透過我的推特互動訊息，偽裝成我的朋友，然後對方說要對項目發展和我一起聊天開個會，發了zoom連結給我，我電腦本身有zoom，但是之前用zoom的時候老有問題，需要重新安裝，所以網頁提示需要重新安裝的時候，我重新安裝了，醒來發現已經被盜了。
(7) 12月29日，FEG 專案遭攻擊，損失約100 萬美元，據分析，此事件的根本原因似乎是與底層Wormhole 跨鏈橋整合時出現的可組合性問題，該橋用於跨鏈消息和代幣的傳輸。
Rug Pull / 釣魚詐騙
典型安全事件9起
(1) 12月1日，0x32b8 開頭地址在簽署網路釣魚「許可證」簽名後損失了$1.45M 的Aave USDC。
(2) 12月3日，0x95d1 開頭地址在簽署網路釣魚「批准」交易後損失了$1.41M。
(3) 12月5日，0x30f8 開頭位址因網路釣魚攻擊損失了2.77 BTC ($284K+) 退出MEXC不到1 小時後落入「Increase Approval」網路釣魚簽章。
(4) 12月8日，0x16f5 開頭地址且有$PEPE持有者透過簽署惡意的「increaseAllowance」交易損失了135 美元。
(5) 12月9日，一名受害者在點擊受感染的WallStreetBets X 帳戶的網路釣魚連結後損失了$2.2M。根據分析顯示，網路釣魚網站中使用了一些網站的XSS 漏洞。
(6) 12月11日，0x7a12 開頭地址在簽署網路釣魚交易後損失了價值$7.8M 的SolvBTC。
(7) 12月18日，0xae4f 開頭地址在簽署「許可證」網路釣魚簽名後損失了價值492K 美元的aEthWETH 和aPolWMATIC。
(8) 12月20日，0x8458 開頭地址在簽署「setApprovalForAll」網路釣魚交易後，遺失了1 Doodles。
(9) 12月20日，0x61ccc 開頭地址在簽署「increaseAllowance」網路釣魚交易後損失了$200K。
總結
2024年最後幾個月，加密貨幣詐騙、漏洞和駭客攻擊造成的損失逐漸減少，12月是全年駭客攻擊最少的月份。而漏洞造成了大部分損失，12月份攻擊者竊取了2670萬美元。
零時科技安全團隊建議專案方隨時保持警惕，提醒廣大用戶要小心釣魚攻擊。建議使用者在參與專案前充分了解專案的背景、團隊，謹慎選擇投資專案。此外也需做好內部安全訓練和權限管理，在專案上線前尋找專業的安全公司進行審計並做好專案背景調查。
