7月盘点｜Freemint成钓鱼攻击最常用手段

2022年7月发生较典型安全事件约『60』起。

编辑｜小欧

分析｜OKLink安全团队

据欧科云链OKLink安全团队监控显示：2022年7月，各类安全事件数量较6月有所下降。

7月以来，有多个项目方遭到了黑客攻击，其中Crema Finance安全事件与Uniswap钓鱼事件引起了广泛的关注与讨论，Premint钓鱼攻击成了今年NFT最大的黑客攻击事件之一；社媒诈骗和钓鱼的攻击事件依旧层出不穷，Rug Pull事件与上个月相比大幅增加。

REKT事件盘点

小知识：

加密领域中，REKT源于英文单词“wrecked”，原意是“毁坏”，术语是指项目被攻击。

7月累计发生『12』起典型安全事件（本文例举7例），损失金额约1900万美元。

No.1

7月1日，Optimism生态最大NFT平台Quixotic出现严重漏洞，大量用户资产被盗，获利约18.3万美元。

No.2

7月3日上午10:00，Solana链上的集中流动性DeFi应用CremaFinance因遭黑客闪电贷攻击而宣布停运，损失的加密资产价值为878.2万美元，经过谈判最终攻击者归还6,064枚ETH和23,967.9枚SOL（约810万美元）。

No.3

7月10日，BIFROST官方发布报告，称BiFi服务的BTC地址注册服务器受到攻击。在攻击中，地址发布服务器的服务器密钥被暴露，攻击者能够自签名自己的存款地址，最终攻击者以假存款借走1,852ETH。

No.4

7月12日，多链NFT协议CitizenFinance声称受到了攻击，攻击者利用访问权限转移了244BNB（约55,000美元）、57,637MATIC（约32,300美元）和7,000USDC，总计约94,300美元。

No.5

7月16日，ImpermaxFinance官方发布事件报告称，一名黑客能够从团队控制的几个钱包中窃取大约900万个IMX。

No.6

7月24日，Web3音乐流媒体服务平台Audius社区金库被黑客攻击，损失1,850万枚AUDIO Token，共计造成损失约110万美元。

No.7

7月28日，算法稳定币协议Nirvana遭遇攻击，共损失350万USDC；目前黑客已将这笔资金通过虫洞协议跨链至以太坊上，并转换为不被监管的DAI。

RugPull事件盘点

小知识：

“Rug pull”，原意为拉地毯，延伸意为加密产业中常见的卷款遣逃事件，经常发生于Defi协议中。

7月累计发生『29』起典型案件（本文例举8例），损失金额超2700万美元。

No.1

7月6日，一个假冒的ShadeInuToken项目创建者从流动性池中移除大约10.1万美元（424 BNB）的流动性，创建者总共获利约53,000美元（224 BNB）。

No.2

7月15日，ArenaPlay发生软RugPull，APC资产价格下跌40%，创建者进行了Pump&Dump，并将1,200BNB存入TornadoCash。

No.3

7月20日，ATM资产发生Rugpull，价格下降了46%，创建者将资产大量卖出，将1,350BNB转移到外部地址，并将1,943.3BNB转移到tornado.cash。

No.4

7月24日，资产YYDNS发生Rug Pull，资产价格下跌超过99%，合约创建者利用MIN()函数铸造并出售资产获得了363 BNB，获利9.4万美元。

No.5

7月25日，DeFi项目DRACNetwork发生RugPull，TEDDY价格下跌99.4%，1万枚BNB和200万枚BUSD已被缓慢转入Binance。

No.6

7月26日，链上资产SKG发生RugPull，价格下跌超过80%，超过10万个SKG被出售，获利约7万美元。

No.7

7月26日，项目SuperStepO发生RugPull，链上资产SGMT价格下跌了90%，造成了603BNB(约14.7万美元)的损失，获利已存入了TornadoCash。

No.8

7月27日，项目LarpFinance发生RugPull，链上资产LARP价格下跌超过80%，项目方出手了初始化铸造的LARP，获利20ETH(约2.8万美元)。

社媒诈骗与钓鱼盘点

7月累计发生『17』起典型案件（本文例举5例），以Discord服务器被攻击为主，用户应提防官方通告中类似“freemint”的活动，以防被诈骗。

No.1

7月3日，据福布斯报道，英国陆军的官方推特账户和YouTube帐户遭到黑客攻击，并发布了有关加密货币和NFT的帖子。目前，所有NFT和加密内容都已从这两个帐户中删除。

No.2

7月11日，超过70,000个连接到Uniswap的地址被空投诱使用户进行危险的资产批准，此批准允许攻击者控制其钱包中的资产。在此次网络钓鱼事件中，至少有7500个ETH被盗。

No.3

7月16日，黑客入侵了著名NFT艺术家DeeKay的Twitter账户。被盗的NFT总价值约为150,000美元。DeeKay说不确定自己的Twitter帐户是如何被盗的，但“猜测是2FA在特定时间关闭的原因”。

No.4

7月17日，NFT访问列表工具PREMINT通过官方推特发布预警，因为有用户提醒，该工具的网站被黑客入侵，已经有NFT收藏家的藏品被盗。此次攻击总共损失了约280ETH，金额为381,818美元，使其成为今年最大的NFT黑客攻击之一。

No.5

7月19日，Tableland项目方Discord相关管理人员权限被盗。攻击者掌握了管理员账户并在公告频道上发布包含虚假网站的链接，任何点击链接并遵循钱包指令的人都会授予攻击者访问其账户中持有的任何NFT的权限。

其他典型安全事件

No.1

7月1日，Polygon首席信息安全官MuditGupta在推特表示，Polygon和Fantom的两个远程过程调用(RPC)接口在周五受到域名系统(DNS)劫持攻击的影响。原因是一名黑客劫持Ankr的域名系统(DNS)窃取用户的种子阶段，Ankr很快就恢复了错误，并表示没有资金损失

No.2

7月24日，在线游戏Neopets表示遇到黑客攻击，目前正在调查客户数据泄露事件，此次Neopets黑客攻击或影响用户达6900万个，还有一个名为TarTarX的黑客以4个比特币的价格出售Neopets网站的源代码和数据库。Neopets在近期推出了NFT，用于其在线虚拟世界游戏。

7月安全总结

2022年7月的安全事件涉及闪电贷攻击、重入、delegatecall等多个方面，建议项目方在项目正式上线前要寻找可靠的安全审计机构对项目进行漏洞审计，以免造成不必要的损失。

此外，本月Rug Pull事件大幅增加，建议用户在参与或投资项目时尽可能选取可靠的项目，谨慎追逐热点币，避免遭受意外损失。

社媒诈骗的发生率整体延续了上个月的多发态势，项目方应注重Discord和Twitter等官方账号的密码安全，同时用户应提防官方通告中类似“freemint”的活动，避免落入钓鱼诈骗的圈套。

此外，钓鱼攻击层出不穷，其中Premint钓鱼事件与Uniswap钓鱼事件尤为严重，建议用户在参与NFT项目及资产相关交互时尽量注意发起交易时的行为信息，避免通过setApprovalForAll将NFT转账权限意外授权给未知账户，或将资产转账权限授权给未知账户。