零时科技 || 本月钓鱼诈骗事件依旧不减，发生多起单个地址被盗百万美元以上的事件
2023 年 12 月，各类安全事件损失金额相比 11 月有所下降。12 月因黑客攻击、钓鱼诈骗和 Rug Pull 造成的总损失金额约2494 万美元。本月钓鱼诈骗事件依旧不减，用户还需要提高反诈意识。
以下为典型安全事件信息
2023 年 12 月 5 日，Web3 开发平台 Thirdweb 存在安全漏洞，影响多份智能合约，至少 3 个项目因漏洞影响被攻击，损失约21 万美元。【Web3 开发工具平台 Thirdweb 在其官方博客中称，11 月 20 日 18:00 发现多个 Web3 智能合约（包括 Thirdweb 的一些预构建智能合约）的常用开源库中存在安全漏洞，包括 Airdrop ERC20（v1.0.3 及更高版本），ERC721（v1.0.4 及更高版本），ERC1155（v1.0.4 及更高版本）等。除了智能合约受影响外，包括钱包、支付和基础设施服务，均未受到影响，正常运作。】
2023 年 12 月 6 日，BSC 生态项目、去中心化储备货币协议 BEARNDAO 遭攻击，获得超过70 万美元的收益。【攻击者地址“0xCE27b”利用了 ConvertDustToEarned() 中的错误并使用了三明治攻击，通过攻击合约“0x21125d”】
2023 年 12 月 12 日，OKX 废弃的 DEX 做市商合约管理权限被盗，损失约270 万美元。【12 月 13 日，OKX 中文发推称，经核实，此事件由一个不再使用的废弃的 OKX DEX 市商合约管理权限被盗而导致，18 个授权过该合约的地址资产被转移。】
2023 年 12 月 14 日，Web3 项目常用的代码库 Ledger Connect Kit 遭受供应链攻击，攻击者获利约60 万美元。
2023 年 12 月 16 日，NFT Trader 遭到重入漏洞攻击，损失约300 万美元，盗取资产已被攻击者归还，攻击者保留了 10% 作为赏金。【12 月 16 日消息，NFT Trader 攻击者于链上发文表示，被盗 NFT 资产安全，最终它们会回到用户手中。漏洞的最初攻击者是 0x3dc115307c7b79e9ff0afe4c1a0796c22e366a47b47ed2d82194bcd59bb4bd46。该攻击者表示其不是初始攻击者，并表示初始攻击者正在继续准备攻击一个新漏洞。】
2023 年 12 月 17 日，NFT 交易市场 Flooring Protocol 遭到黑客攻击，损失约160 万美元。
2023 年 12 月 20 日，DeFi 协议 Transit Finance 遭到黑客攻击，损失约11 万美元。
2023 年 12 月 23 日，DEX 项目 Paraluni 遭到价格操控攻击，损失约33 万美元。【攻击者利用 Paraluni 协议价格操控漏洞，从合约中获利约 33.6 万美元。据此前消息，Web3 安全平台 Ancilia 在推特发文称，币安智能链上元宇宙项目 Paraluni 正在遭遇价格操纵攻击，攻击者利用价格操纵放大抵押品的价值，从而借出更多的资金，导致项目损失。】
2023 年 12 月 26 日，Telcoin 钱包遭到攻击，损失约120 万美元。
2023 年 12 月 13 日至 26 日期间，Osmosis 链上永续交易协议 Levana 遭受攻击，漏洞发生超过 13 天，攻击者耗尽了 Levana 上 10% 的流动性池，损失超过110 万美元。
2023 年 12 月 27 日，多链交易平台 Thunder 疑似遭攻击，攻击者已将86.5 枚 ETH转至 Railgun。
【攻击者地址：
0x2a2C200af4E659348C4182DD9806a340851df42e。Thunder 对此回应称，其使用的第三方服务疑似被攻击，超过 14,000 个地址中有 114 个受到影响。】
2023 年 12 月 30 日，BSC 上的 Channels Finance 受到黑客攻击，损失超过 32 万美元。
2023 年 12 月 1 日，BNB Chain 上 Grok-2 代币疑似发生 Rug Pull，当前该代币价格已经下跌 100%。
2023 年 12 月 1 日，QMYX 发生 Rug Pull，约 10 万亿 QMYX 交换为 57.18 枚 WETH。【MYX Finance 代币 QMYX 已下跌 100%。地址 0x7634...168d 已将 9,999,999,999,999 枚 QMYX 交换为 57.18 枚 WETH(11.97 万美元 )。】
2023 年 12 月 5 日，BNB Chain 上 CKD 代币发生 Rug Pull，部署者获利约54 万美元。
2023 年 12 月 13 日，地址 0xEbC5 遭网络钓鱼，损失约9.45 万美元。【地址 0xEbC5 成为网络钓鱼计划的受害者，导致损失 382.88 枚 crvCRVETH 和 43.5 枚 stETH（价值约 9.45 万美元）】
2023 年 12 月 21 日，监测显示某钱包黑客与 Google 搜索和 X 广告上的网络钓鱼活动有关，在 9 个月内从超过 6.3 万名受害者身上盗取了约5800 万美元。
2023 年 12 月 24 日，0xf8c 开头地址因零转账钓鱼攻击被盗71 万枚 USDC。
钓鱼地址：
0x949D0DbE58c77EEF31eDAB5E476f41E4F5ef861B。
2023 年 12 月 26 日，MegabotETH 发生 rug pull，部署者获利约74 万美元。
2023 年 12 月 26 日，两名受害者因网络钓鱼诈骗损失约150 余万美元的资产。
2023 年 12 月 29 日，一用户因签署了一份“increase Allowance”交易，被网络钓鱼攻击损失价值440 万美元的 LINK。
?本月钓鱼诈骗事件依旧不减，发生多起单个地址被盗百万美元以上的事件，用户还需提高警惕。
以下为其他方面安全事件
注：时间不分先后
2023 年 12 月 4 日，泰兴市一干部参与虚拟货币传销活动获刑 4 年 6 个月，涉案金额达3700 多万元。【江苏泰州一干部被控组织、领导传销活动，涉案金额达 3700 多万元，此前一审判决因犯组织、领导传销活动罪该干部获刑 4 年 6 个月并处罚金 30 万元。据悉江苏省泰州泰兴市干部赵某参与的 MBI 集团以投资理财为名，要求参加者每次缴纳一定金额的费用，购买该集团相关平台发行的虚拟货币“易物币”（M 币），经鉴定赵某发展下线人数达 2 层 476 人。】
2023 年 12 月 6 日消息，河南检察院披露大型虚拟货币传销案，涉案金额超 1.2 亿人民币。【河南省淅川县检察院近期办理一起涉案金额达 1.2 亿元的虚拟货币传销案，犯罪嫌疑人王某委托高科技公司定制软件，设立“红牛去中心化交易所”网站并在网络公开对外发行“NB 币（牛币）”，开发对应的红牛炒币 App，以虚拟货币、区块链名义开展传销活动，并成立“红牛商学院讲师团”开展线下推广宣传。仅一年时间，涉案团伙就发展会员 2128 人，骗取财物 1.2 亿余元。】
2023 年 12 月 6 日消息，加密交易所 Bitzlato 联创承认7 亿美元洗钱罪。
2023 年 12 月 10 日消息，香港警方破获通过虚拟货币洗钱3000 万港元的犯罪团伙。
2023 年 12 月 13 日消息，美国司法部指控两名男子经营2500 万美元的加密庞氏骗局。【二人诱使受害者投资各种交易项目，这些项目虚假承诺使用人工智能自动交易机器人可以在加密货币市场上交易并赚取高收益，并以各种名义推广投资项目，二人挪用受害者资金来支付个人开支。】
2023 年 12 月 15 日消息，美国司法部披露四人因加密货币诈骗和洗钱被指控，造成超8000 万美元损失。【根据法庭文件，Lu Zhang、Justin Walker、Joseph Wong 和 Hailong Zhu 涉嫌合谋开设空壳公司和银行账户，以清洗加密货币投资骗局（也称为“杀猪盘”）和其他欺诈计划的受害者收益。】
2023 年 12 月 30 日，广西公安破获涉虚拟货币的直播带货 APP 传销案，涉案金额超3 亿元。【广西河池市公安局破获一起涉虚拟货币的直播带货 APP 传销案，犯罪嫌疑人利用一款名为维度的 APP 建群及直播带货，制定了拉人头发展层级、线上注册返利的传销模式，通过软件的内购功能推销虚拟服务并发放平台设置的奖励维度币，同时在宣传中不断地打着电子商务、虚拟货币、国字号项目等旗号和标签大肆鼓吹，掩盖其通过发展下线牟利的本质】
2023 年 12 月，各类安全事件损失金额相比 11 月有所下降。12 月因黑客攻击、钓鱼诈骗和 Rug Pull 造成的总损失金额约2494 万美元。
鉴于各类安全事件频发，零时科技安全团队提出以下安全建议：
项目方建立严格私钥管理流程，采用多签机制，禁止在联网环境中使用私钥。
在项目上线之前，找专业的第三方安全企业进行全面的安全审计，而且可以找多家进行交叉审计。
项目方可以发布漏洞赏金计划，发送社区白帽子帮助找问题，先于黑客找到漏洞。
加强对项目的安全监测和预警，尽量做到在黑客发动攻击之前发布预警从而保护项目安全。
智能合约开发者应该重视合约中的代码逻辑必须严谨，避免历史漏洞重现，加强代码安全性。
用户仔细进行项目背景调查，不要轻信未开源的项目合约，查看相关审计报告，避免资产损失。
用户要提高反诈意识，若不幸被骗，留存好证据，尽快向警方立案。
本文内容均来自公开的资料整理收集。
重要提醒：本文只对行业信息进行整理，不构成任何投资建议和保证
【免责声明】市场有风险，投资需谨慎。本文不构成投资建议，用户应考虑本文中的任何意见、观点或结论是否符合其特定状况。据此投资，责任自负。
