SharkTeam：2024年第一季度Web3安全报告
字数 2684 2025-08-19 12:42:38

Web3安全教学文档：2024年第一季度安全态势分析与防范策略

一、2024年第一季度Web3安全概况

1.1 总体数据统计

  • 总损失金额：4.62亿美元
  • 同比增长：相比2023年第一季度(约3.83亿美元)增长20.63%
  • 安全事件总数：280起
  • 事件频率增长：同比增加32.70%

1.2 攻击类型分布

攻击类型 事件数量 损失金额 占比 同比变化
黑客攻击 60起 3.85亿美元 83% 事件数量+140%，金额+6.35%
Rug Pull 127起 821万美元 2% 事件数量+323.33%，金额-59.44%
钓鱼攻击 93起 6866万美元 15% 事件数量增加

1.3 月度分布情况

月份 事件数量 损失金额 特点
1月 88起 2.50亿美元 单次事件损失最高
2月 72起 7142万美元 相对较低水平
3月 120起 1.40亿美元 事件频率最高

二、黑客攻击深度分析

2.1 主要攻击事件

  1. Orbit Chain跨链桥攻击(1月1日)

    • 损失金额：8150万美元
    • 攻击方式：5笔独立交易指向不同钱包地址
    • 被盗资产：
      • 5000万美元稳定币(3000万USDT,1000万DAI,1000万USDC)
      • 231个wBTC(约1000万美元)
      • 9500个ETH(约2150万美元)

  2. Ripple联合创始人钱包攻击(1月31日)

    • 损失金额：2.37亿枚XRP(约1.125亿美元)
    • 资金流向：通过MEXC、Gate、Binance、Kraken、OKX、HTX、HitBTC等交易所转移
    • 市场影响：XRP价格24小时内下跌约4.4%

2.2 黑客攻击特点

  • 主要针对跨链桥和高价值个人钱包
  • 攻击手法专业，资金转移路径复杂
  • 单次攻击损失金额巨大(平均每起约641万美元)

三、Rug Pull & Scams分析

3.1 基本数据

  • 事件总数：127起
  • 损失金额：821万美元
  • 主要链分布：
    • BNB Chain：频率远高于Ethereum
    • Ethereum：仍为主要目标之一

3.2 典型案例：RiskOnBlast Rugpull(2月25日)

  • 项目类型：Blast生态GameFi项目
  • 操作手法：
    1. 募资420枚ETH(约125万美元)
    2. 兑换成DAI
    3. 转移至ChangeNOW、MEXC、Bybit等交易所套现

3.3 批量Rugpull工厂模式

  1. 操作流程：

    • 使用工厂合约(createToken函数)批量创建代币
    • 参数设置：代币名称、符号、精度、供应量、所有者地址、工厂合约地址等
    • 使用PancakeSwap工厂合约创建交易对

  2. 价格操纵手法：

    • 利用多个地址进行批量买入卖出
    • 制造流动性增加和价格上涨假象
    • 通过钓鱼等方式宣传吸引用户购买
    • 价格达到目标后大规模抛售(Rugpull)

  3. 黑色产业链分工：

    • 热点搜集
    • 自动发币
    • 自动交易
    • 虚假宣传
    • 钓鱼攻击
    • Rugpull收割

四、钓鱼攻击分析

4.1 基本数据

  • 事件总数：93起
  • 损失金额：6866万美元
  • 活跃团伙：Angel Drainer、Pink Drainer等

4.2 典型案例：DeGame钓鱼事件(3月)

  1. 攻击流程：

    • 攻击者盗取DeGame官方推特账号(@degame_l2y)
    • 发布4条含钓鱼链接的空投推文(3月14日4:00-9:30 AM)
    • 用户点击链接后损失57 PufETH

  2. 技术细节：

    • 钓鱼网站自动检测钱包资产
    • 弹出Permit Token Approval交易签名
    • 签名完全不上链，完全匿名
    • 通过Permit调用Approve获取代币授权后转移资金

  3. Pink Drainer团伙特征：

    • 提供恶意软件即服务(Malware-as-a-Service, MaaS)
    • 快速建立恶意网站
    • 收取25%左右被盗资金作为分成

五、智能合约漏洞分析

5.1 MIM_SPELL闪电贷攻击(1月30日)

  • 损失金额：650万美元
  • 漏洞类型：精度计算漏洞

攻击原理：

  1. 漏洞位置：

    • 借贷变量计算时精度漏洞
    • elastic和base值比例失衡

  2. 攻击步骤：

    • 攻击者(0x87F58580)通过偿还其他用户借款，设置elastic=0，base=97
    • 循环调用borrow和repay函数(amount=1)
    • 利用向上取整漏洞，使elastic不变而base近乎翻倍
    • 最终导致elastic=0，base=120080183810681886665215049728
    • 添加少量抵押物即可借出大量MIM代币

  3. 关键代码问题：

    • borrow和repay函数对elastic和base计算都采用向上取整
    • 比例失衡后抵押计算失效

六、安全防护建议

6.1 针对普通用户

  1. 钓鱼攻击防范：

    • 仔细检查所有交易签名信息
    • 警惕"空投"等诱惑性内容
    • 官方账号异常时段发布的信息需验证

  2. Rug Pull防范：

    • 警惕与热点事件相关的代币
    • 检查代币创建模式和所有者行为
    • 避免FOMO(错失恐惧症)心理

  3. 钱包安全：

    • 使用硬件钱包存储大额资产
    • 区分热钱包和冷钱包
    • 定期检查授权情况

6.2 针对项目方

  1. 合约安全：

    • 全面审计智能合约
    • 特别注意数值计算精度问题
    • 实施漏洞赏金计划

  2. 社交账号安全：

    • 启用双重认证
    • 限制账号访问权限
    • 建立异常发布应急机制

  3. 安全监控：

    • 部署链上监控系统
    • 建立异常交易预警机制
    • 准备应急响应预案

6.3 针对开发者

  1. 编码规范：

    • 避免数值计算精度问题
    • 使用经过验证的数学库
    • 全面测试边界条件

  2. 安全开发实践：

    • 遵循安全开发生命周期(SDLC)
    • 实施代码审查
    • 使用静态分析工具

七、总结与展望

2024年第一季度Web3安全形势呈现以下特点：

  1. 攻击趋势：

    • 黑客攻击单次损失巨大
    • Rug Pull事件数量激增
    • 钓鱼攻击手法专业化

  2. 技术特点：

    • 智能合约逻辑漏洞依然严重
    • 黑色产业链形成规模效应
    • 攻击工具商业化(MaaS)

  3. 防范重点：

    • 提高安全意识教育
    • 加强合约审计
    • 完善监控预警系统

随着Web3行业发展和市场活跃度提高，安全威胁将持续演变。项目方和用户需保持高度警惕，采取多层次防护措施，共同维护Web3生态系统安全。

Web3安全教学文档：2024年第一季度安全态势分析与防范策略 一、2024年第一季度Web3安全概况 1.1 总体数据统计 总损失金额 ：4.62亿美元 同比增长 ：相比2023年第一季度(约3.83亿美元)增长20.63% 安全事件总数 ：280起 事件频率增长 ：同比增加32.70% 1.2 攻击类型分布 | 攻击类型 | 事件数量 | 损失金额 | 占比 | 同比变化 | |---------|---------|---------|------|---------| | 黑客攻击 | 60起 | 3.85亿美元 | 83% | 事件数量+140%，金额+6.35% | | Rug Pull | 127起 | 821万美元 | 2% | 事件数量+323.33%，金额-59.44% | | 钓鱼攻击 | 93起 | 6866万美元 | 15% | 事件数量增加 | 1.3 月度分布情况 | 月份 | 事件数量 | 损失金额 | 特点 | |------|---------|---------|------| | 1月 | 88起 | 2.50亿美元 | 单次事件损失最高 | | 2月 | 72起 | 7142万美元 | 相对较低水平 | | 3月 | 120起 | 1.40亿美元 | 事件频率最高 | 二、黑客攻击深度分析 2.1 主要攻击事件 Orbit Chain跨链桥攻击(1月1日) 损失金额：8150万美元 攻击方式：5笔独立交易指向不同钱包地址 被盗资产： 5000万美元稳定币(3000万USDT,1000万DAI,1000万USDC) 231个wBTC(约1000万美元) 9500个ETH(约2150万美元) Ripple联合创始人钱包攻击(1月31日) 损失金额：2.37亿枚XRP(约1.125亿美元) 资金流向：通过MEXC、Gate、Binance、Kraken、OKX、HTX、HitBTC等交易所转移 市场影响：XRP价格24小时内下跌约4.4% 2.2 黑客攻击特点 主要针对跨链桥和高价值个人钱包 攻击手法专业，资金转移路径复杂 单次攻击损失金额巨大(平均每起约641万美元) 三、Rug Pull & Scams分析 3.1 基本数据 事件总数 ：127起 损失金额 ：821万美元 主要链分布 ： BNB Chain：频率远高于Ethereum Ethereum：仍为主要目标之一 3.2 典型案例：RiskOnBlast Rugpull(2月25日) 项目类型：Blast生态GameFi项目 操作手法： 募资420枚ETH(约125万美元) 兑换成DAI 转移至ChangeNOW、MEXC、Bybit等交易所套现 3.3 批量Rugpull工厂模式 操作流程 ： 使用工厂合约(createToken函数)批量创建代币 参数设置：代币名称、符号、精度、供应量、所有者地址、工厂合约地址等 使用PancakeSwap工厂合约创建交易对 价格操纵手法 ： 利用多个地址进行批量买入卖出 制造流动性增加和价格上涨假象 通过钓鱼等方式宣传吸引用户购买 价格达到目标后大规模抛售(Rugpull) 黑色产业链分工 ： 热点搜集 自动发币 自动交易 虚假宣传 钓鱼攻击 Rugpull收割 四、钓鱼攻击分析 4.1 基本数据 事件总数 ：93起 损失金额 ：6866万美元 活跃团伙 ：Angel Drainer、Pink Drainer等 4.2 典型案例：DeGame钓鱼事件(3月) 攻击流程 ： 攻击者盗取DeGame官方推特账号(@degame_ l2y) 发布4条含钓鱼链接的空投推文(3月14日4:00-9:30 AM) 用户点击链接后损失57 PufETH 技术细节 ： 钓鱼网站自动检测钱包资产 弹出Permit Token Approval交易签名 签名完全不上链，完全匿名 通过Permit调用Approve获取代币授权后转移资金 Pink Drainer团伙特征 ： 提供恶意软件即服务(Malware-as-a-Service, MaaS) 快速建立恶意网站 收取25%左右被盗资金作为分成 五、智能合约漏洞分析 5.1 MIM_ SPELL闪电贷攻击(1月30日) 损失金额 ：650万美元 漏洞类型 ：精度计算漏洞 攻击原理： 漏洞位置 ： 借贷变量计算时精度漏洞 elastic和base值比例失衡 攻击步骤 ： 攻击者(0x87F58580)通过偿还其他用户借款，设置elastic=0，base=97 循环调用borrow和repay函数(amount=1) 利用向上取整漏洞，使elastic不变而base近乎翻倍 最终导致elastic=0，base=120080183810681886665215049728 添加少量抵押物即可借出大量MIM代币 关键代码问题 ： borrow和repay函数对elastic和base计算都采用向上取整 比例失衡后抵押计算失效 六、安全防护建议 6.1 针对普通用户 钓鱼攻击防范 ： 仔细检查所有交易签名信息 警惕"空投"等诱惑性内容 官方账号异常时段发布的信息需验证 Rug Pull防范 ： 警惕与热点事件相关的代币 检查代币创建模式和所有者行为 避免FOMO(错失恐惧症)心理 钱包安全 ： 使用硬件钱包存储大额资产 区分热钱包和冷钱包 定期检查授权情况 6.2 针对项目方 合约安全 ： 全面审计智能合约 特别注意数值计算精度问题 实施漏洞赏金计划 社交账号安全 ： 启用双重认证 限制账号访问权限 建立异常发布应急机制 安全监控 ： 部署链上监控系统 建立异常交易预警机制 准备应急响应预案 6.3 针对开发者 编码规范 ： 避免数值计算精度问题 使用经过验证的数学库 全面测试边界条件 安全开发实践 ： 遵循安全开发生命周期(SDLC) 实施代码审查 使用静态分析工具 七、总结与展望 2024年第一季度Web3安全形势呈现以下特点： 攻击趋势 ： 黑客攻击单次损失巨大 Rug Pull事件数量激增 钓鱼攻击手法专业化 技术特点 ： 智能合约逻辑漏洞依然严重 黑色产业链形成规模效应 攻击工具商业化(MaaS) 防范重点 ： 提高安全意识教育 加强合约审计 完善监控预警系统 随着Web3行业发展和市场活跃度提高，安全威胁将持续演变。项目方和用户需保持高度警惕，采取多层次防护措施，共同维护Web3生态系统安全。