2022年第四季度行业安全概要

FTX事件始末 黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

2022年第四季度的主要事件想必无人不知,而这也是能够被载入Web 3.0史册的事件:FTX的急转直下,近乎于一夜之间崩塌。虽然该事件在导火索被点燃前已有了明显的倾塌征兆,但因其毕竟是行业内的第二大中心化交易所,FTX的倒台无疑还是震惊了许多人。

我们在此也会为大家简单剖析一下这次事件造成的原因,以及使这种欺诈行为得以发生的非Web 3.0商业模式的独特特征。

FTX事件让数十万,甚至数百万的用户的数十亿美元资产无法提取从而变成永久性损失。随着人们的注意力从Web 3.0平台遭受的持续损失上转移开,DeFi在相比之下出现了一段“缓和期”。中心化交易所和服务永远无法如去中心化的应用程序一般成为Web 3.0持续运转的关键。

因此如果Web 3.0要发挥其真正的潜力,就需要百分百执行安全审计。本报告将分析过去三个月里Web 3.0世界中最主要的几起安全事件。

若想要回顾2022全年的情况,请持续关注CertiK官方公众号,我们随后将发布《2022年度Web3.0行业安全报告》。

第四季度行业安全概要

① 2022年第四季度,恶意攻击者从Web 3.0领域中盗取了约9.5亿美元的资产。

② 这一数字相比今年第一季度损失的13亿美元峰值有所下降,但较于第三季度损失的5.04亿美元增加了88%

③ 仅11月的资产损失就占据了第四季度总损失的50%以上,主要资产损失来自于FTX钱包在该交易所崩溃期间损失的约5亿美元

④ 第四季度发生了78起退出骗局,共盗取了约5268万美元,37起闪电贷与预言机操纵的漏洞共造成了约1439万美元的损失。

⑤ 整个2022年Web 3.0领域的安全形态仍为大规模攻击占据主要资产损失,仅三个独立的跨链桥漏洞就造成了约1.1亿美元的损失。

⑥ 第四季度CertiK审计的Web 3.0项目数量仍在持续上升,目前审计的项目总数已达到了5046个

FTX 顷刻崩塌

FTX,作为曾经的第二大中心化加密货币交易所,日落后已燃尽余辉。曾几何时,Sam Bankman-Fried(山姆·班克曼-弗里德)的面孔还出现在世界各地的广告上。在过去的这段时间,有无数记者们以Sam为主题撰写了文章。迈阿密热火的主场场馆甚至也已被FTX冠名(由AmericanAirlines Arena改为了FTX Arena),冠名合约有效期至2040年。直到今年11月初,FTX还在高歌猛进,

然而这一切都在一周之内轰然倒塌,化为泡影。目前,Sam缴纳了2.5亿美元的高额保释金后保释出狱,两名Alameda公司的高级管理人员承认检方指控犯罪事实,并同意配合对其前老板的起诉。

FTX总部设立于巴哈马,虽然没有人知道美国法院将如何对其采取行动,但是我们可以在此先将该事件的始末进行初步梳理⬇️:

11月2日:CoinDesk发布了一篇文章,表达了对Alameda Research资产中由FTT(FTT是FTX创建的交易所token)组成比例的担忧。

11月6日:Binance首席执行官赵长鹏“CZ”表示,他将出售Binance总额为5.8亿美元的FTT持股,这些持股来自他对FTX的早期投资。

Alameda Research首席执行官Caroline Ellison现在已经承认了两项电信欺诈罪和五项共谋罪,涉及电信、证券和商品欺诈以及洗钱:为CZ提供了一个场外交易。

原文大致翻译如下:@cz_binance 如果你想尽量减少市场对你销售FTT的影响,今天Alameda会很愿意以22美元的价格向你购买所有FTT!

CZ显然拒绝了这一提议,然而当FTT最终突破22美元大关后,其价格骤然暴跌。

来源: CoinMarketCap

11月7日:FTX用户的恐慌情绪蔓延开来,大量用户试图从平台上撤回他们的资金,但是仅有极少部分用户成功。

11月8日:在对围绕其交易所偿付能力的传言保持了长时间的沉默后,Sam Bankman-Fried终于宣布将FTX出售给Binance。

原文大致翻译如下:大家好:我有几个消息要宣布。事情已经圆满结束,http://FTX.com 的第一个,也是最后一个投资者是相同的:我们已与Binance就FTX.com战略交易达成协议(等待尽职调查结果)。

11月9日:Binance退出了交易。

原文大致翻译如下:根据企业尽职调查的结果,以及关于客户资金处理不当和涉嫌美国机构调查的最新新闻报道,我们决定不再对http://FTX.com 进行潜在收购。

与此同时,美国证券交易委员会(SEC)和司法部(DoJ)对FTX展开调查。

11月10日:巴哈马证券委员会冻结了FTX并任命了清算人。

11月11日:FTX按照美国破产法第11章申请破产。Sam Bankman-Fried辞去首席执行官一职,由曾管理Enron公司破产程序的John J. Ray III(约翰·雷三世)接任。

11月12日:《华尔街日报》报道,FTX将客户的存款交给Alameda Research,以帮助其履行债务偿还责任。而Alameda的高管知道这一协议其实违反了FTX的服务条款。

大约有5亿美元的FTX资产被从平台转出。有传言说巴哈马政府曾指示撤出资产,但随后该政府否认了这一说法。

11月14日:纽约的联邦检察官对欺诈指控展开调查。

11月16日:美国立法者要求Sam Bankman-Fried以及Alameda和Binance的高管在12月的国会山听证会上作证。

11月17日:即将上任的FTX首席执行官John J. Ray III在一份法庭文件中说:“在他的职业生涯中,包括在Enron丑闻期间,他从未见过失败的如此透彻的公司管理控制。”这包括“系统的完整性受到损害,国外监管存在缺陷,以及控制权集中在极少数没有经验、不成熟和不良信誉的个人手中。”

12月12日:在纽约联邦检察官提出刑事指控后,Sam在巴哈马被捕。

12月13日:美国证券交易委员会指控Sam Bankman-Fried诈骗投资者。

12月20日:在被拘留8天后,Sam Bankman-Fried同意被引渡到美国。

12月27日:据彭博社报道,美国司法部已对11月FTX价值数亿美元资产遭到提取一事展开调查。

目前,Caroline Ellison和Gary Wang已经承认了联邦指控,其欺诈行为已被证实。

如果想通过收听方式了解更多FTX事件始末及细节,请复制以下链接至浏览器https://m.ximalaya.com/sound/590419909?from=pc

播放CertiK首席运营官曹亚昕博士关于《FTX极速坠落》的专访节目。

以去中心化为荣的Web 3.0世界,为何会出现如此问题?

其实,FTX并不是一家Web 3.0货币公司。它是一个允许进行数字资产交易的中心化平台。它依赖于用户对平台遵守其服务条款的信任,而高管层则恶意利用了这种信任。

那么有更好的解决方案吗?

当然。与FTX这样的中心化交易所相对应的则是Web 3.0行业中的去中心化交易所(DEX)。而FTX管理层的欺诈行为在DEX中可以说是几乎不可能实现的。因为资金流动公开透明,用户的存款不可能被秘密转移到某些交易公司。

因此,开放的Web 3.0协议可作为FTX事件的解决方案,而其也不该被抹上与欺诈性中心化交易所相同的污点。

不过,目前Web 3.0解决方案尚未进入黄金时代。如上文所述,仅2022年第四季度,就有约10亿美元的资产从生态系统中不翼而飞。在Web 3.0世界能够实现其安全、自由和公平的生态系统供所有人使用的承诺之前,安全标准需要不断提高

下面就让我们来看一下第四季度最大的漏洞事件之一:Mango Markets事件。该事件凸显了在构建Web 3.0协议时平台需谨慎设计的重要性。

Mango Markets遭攻击

损失1.16亿美元

在Solana上运行的Mango Markets平台,于2022年10月初遭到攻击,损失了约1.16亿美元。Mango Markets利用Serum(DEX)进行现货保证金交易,而永久期货则在Mango Markets自己的订单簿上进行交易。Mango Markets 由MNGO持有人通过Mango DAO管理。

而这一攻击事件即是利用了该协议的组成部分。

推特用户Avraham Eisenberg公开声称自己参与了Mango Markets的漏洞攻击,并暗示了还有其他未知人士同他一起操作。这些人利用了大量资金来操纵Mango Markets协议。

2022年10月11日,攻击者们在Mango Markets上夸大了他们的抵押品价值,并针对这些资金进行了大量贷款。

攻击者们用500万美元的USDC为钱包CQvKSNn(账户A)提供资金,然后在订单簿上铸造了4.83亿份的MNGO永续合约。

随后,攻击者们向第二个钱包4ND8FVPj(账户B)提供资金,并用它以每单位0.0382美元的价格购买4.83亿单位的MNGO。因此,攻击者能够将MNGO的价格提高到0.91美元,也因此能够让账户B借到更多资金。账号B以MNGO作为抵押品,借出了1.16亿美元的贷款,此时 Mango 的流动性被耗尽:账户A有大约有11,537,729.05美元的债务无法收回,账户B有大约1.15亿美元的借贷token。

Eisenberg声称他的团队执行了一个“高利润的交易策略”,使Mango Markets陷入破产,但他也指出,他有兴趣归还一部分用户资金。Mango Markets团队最终与攻击者进行了谈判,攻击者在10月20日DAO治理投票后归还了6700万美元。剩下的被盗资金被转移到钱包Hy4ZsZk,随后被进一步转移。目前该钱包仍持有约274万美元资产。

原文大致翻译如下:开发团队部分忽略了以这种方式设置参数的后果和风险。但我相信我们所有的行为都是合法的公开市场行为,也是按照设计使用协议。

遭遇攻击耗尽其流动性的项目很少有机会翻身,Mango Markets是否会恢复犹未可知。Mango Markets网站称,他们将部署第四个版本的平台,其中包括已更新的安全和风险缓释策略,不过相关细节还没有被公布。

目前,Mango Markets的Discord仍具有活跃度,每隔几天就会有用户要求提供关于第四版部署的信息,其管理员也处于活跃在线状态。不过目前这个阶段,该团队似乎没有通报发布日期或与他们计划有关的其他信息。

在Mango Markets事故的后期,Avraham Eisenberg在波多黎各被捕,并于12月27日被司法部指控商品欺诈和商品操纵。此案的结果将成为美国DeFi监管的一个里程碑事件。

全新的开始

FTX如过山车一般的故事正是Web 3.0试图要避免的:信任本不应该轻信的机构、缺乏透明度、公然欺诈……

而2022年对投身于Web 3.0市场的人来说,或许是比较煎熬的一年。除了FTX的崩塌以及其造成的连锁反应使行业中的一些大企业倒闭之外,整个Web 3.0市场的行情和整体价格都相对低迷。

但2023年或许是一个新的机会。让我们回到初心,专注于真正重要的事情:建立安全、透明、开源的应用程序,将权力交还给用户。Web 3.0也需要从写进区块链永久历史的教训中学习,通过安全协议设计、部署前代码审计和部署后监控来提高整个行业的安全水准。

无论何时,安全对于用户、开发者和整个行业的未来都是至关重要的。

24小时热点

融资交易平台不得从事代币兑换业务

随着虚拟货币的兴起,市场上刮起了交易虚拟货币的热潮。与此同时 ... 置顶

6592

网信办整治“币圈”乱象,关闭上万个违规账号和105家网站

网信办整治“币圈”乱象,关闭上万个违规账号和105家网站 ... 置顶

27964

代币经济一些些未来构想

在过去的两年里,许多协议已经建立了Token经济学模型,很多 ...

4576

度宇宙

DeFi 的某个部分在降温期间变得特别火爆

如果说 DeFi 的某个部分在降温期间变得特别火爆,那就是流 ...

7402

完美世界文创

NFT游戏生态系统如今的增长速度前无仅有

1、更深入、更丰富的游戏玩法 人们 ...

4002

Opensea交易NFT

上海升级除了ETH质押解锁还有其他升级

以太坊上海升级计划于今年3月份进行,其中有一项是信标链开放E ...

3844

Kine Protocol

亚洲首批虚拟资产ETF

12月13日,南方东英资产管理有限公司(简称“南方东英”)正 ...

5522

非小号

比特币跨链有多难

比特币是加密世界的基石,由于比特币网络不支持复杂的操作,基于 ...

56204

什么是区块链

2023年如何为DAO代币估值?

在这篇文章中,我们讨论了去中心化自治组织(DAO)的估值框架 ...

5390

PKEX

外部环境恶化加密行业监管逐渐明朗

2022年对于加密币行业来说是最艰难的一年,也是历史上最糟糕 ...

5217

知信链

BIT BitDAO是资本骗局吗

BIT- 简介详情 ...

5299

非小号

区块链网早报

头条 ▌ DCG投资组合资产全线下跌,引发市场猜测 ...

8904

光明数藏

热点专题

以游戏带动引擎发展实现功能迭代与技术演进

游戏引擎作为游戏创作工具与游戏运行的底层控制器,着力于在虚拟 ... 置顶

33356

2022年打假总结:存活近3年 疯狂的“传销币”GEC是怎么苟延残喘至今?

币圈从来不缺乏资金盘或是传销币,但多数都不长久,一夜之间项目 ...

2779460

加密兔

2022年打假总结:Pi Network项目的传销性质Pi币

曾经,号称“走路就能赚钱”拥有大量用户和广泛影响的国内APP ...

2292823

文昌链

专门忽悠企业家的中国十大骗子大师

“大师”的伎俩: 最近几年,在网络、机场的书店, ...

1737356

希壤

国内460种传销币套路和骗子币名单大曝光

全员警惕!!!国内460种传销币套路和骗子币名单大曝光(附全 ...

1728187

Coin Metrics

柴犬币SHIB来了

受狗狗币启发,柴犬币(SHIB)近两天被创造出来。

1213457

Luart

非常硬核的LP流动性挖矿的核算

2021年1月19日20:00MDX正式上线交易挖矿和流动性 ...

1092706

RMRK

什么是去中心化交易所(DEX)?

去中心化交易所是一个基于区块链的交易所,它不将用户资金和个人 ...

1080791

bitFlyer交易所

中国十大骗局之pi network(π币、pi币、派币、兀币)

中国十大骗局之pi network(π币、pi币、派币、兀币 ...

876352

红果数藏

在Mdex上挖矿教程

Mdex是火币生态链上的去中心化交易所,Mdex挖矿于1月1 ...

774374

大都会资本

“iBox” 数藏平台是违法违规的金融活动

NFT可以看作是元宇宙的其中一种应用,我们可以把数字藏品看成 ...

716913

比推Bitpush