【#區(qū)塊鏈# #速覽 2023 區(qū)塊鏈安全與反洗錢年度報(bào)告#】

本報(bào)告將回顧 2023 年區(qū)塊鏈行業(yè)關(guān)鍵監(jiān)管合規(guī)政策及動(dòng)態(tài)，總結(jié) 2023 年區(qū)塊鏈安全事件及反洗錢態(tài)勢(shì)，對(duì)部分洗錢工具進(jìn)行統(tǒng)計(jì)，并對(duì)典型安全事件及典型釣魚騙局手法進(jìn)行詳細(xì)剖析，提出預(yù)防方案和措施建議。

撰文：慢霧 AML 團(tuán)隊(duì)

慢霧科技發(fā)布《2023?區(qū)塊鏈安全與反洗錢年度報(bào)告》，我們期望這份報(bào)告為讀者提供有益的信息，幫助從業(yè)者和用戶更全面地了解區(qū)塊鏈安全現(xiàn)狀及解決方案，為促進(jìn)區(qū)塊鏈生態(tài)的安全貢獻(xiàn)一份力量。由于篇幅限制，這里僅羅列分析報(bào)告中的關(guān)鍵內(nèi)容，完整內(nèi)容可 點(diǎn)擊鏈接 查看。

一、概述

2023 年區(qū)塊鏈行業(yè)是振奮又動(dòng)蕩的一年。在此背景下，本報(bào)告將回顧 2023 年區(qū)塊鏈行業(yè)關(guān)鍵監(jiān)管合規(guī)政策及動(dòng)態(tài)，總結(jié) 2023 年區(qū)塊鏈安全事件及反洗錢態(tài)勢(shì)，對(duì)部分洗錢工具進(jìn)行統(tǒng)計(jì)，并對(duì)典型安全事件及典型釣魚騙局手法進(jìn)行詳細(xì)剖析，提出預(yù)防方案和措施建議。此外，我們還邀請(qǐng)了 Web3 反詐騙平臺(tái) Scam Sniffer 撰寫關(guān)于釣魚團(tuán)伙 Wallet Drainers 的內(nèi)容，同時(shí)我們對(duì)黑客團(tuán)伙 Lazarus Group 的洗錢手法和獲利資金進(jìn)行了分析和統(tǒng)計(jì)。

二、區(qū)塊鏈安全態(tài)勢(shì)

根據(jù)慢霧區(qū)塊鏈被黑事件檔案庫 (SlowMist?Hacked) 統(tǒng)計(jì)，2023 年安全事件共 464 件，損失高達(dá) 24.86 億美元。?對(duì)比 2022 年（共 303 件，損失約 37.77 億美元），損失同比下降 34.2%。

• 區(qū)塊鏈安全事件總覽

從項(xiàng)目賽道來看，DeFi 仍然是最常受到攻擊的領(lǐng)域。2023 年 DeFi 安全事件共 282 件，占事件總數(shù)的 60.77%，損失高達(dá) 7.73 億美元，對(duì)比 2022 年（共 183 件，損失約 20.75 億美元），損失同比下降 62.73%。

（2023 各賽道安全事件分布及損失）

（2022 和 2023 DeFi 安全事件分布及損失對(duì)比圖）

從生態(tài)來看，Ethereum 損失最高，達(dá) 4.87 億美元。其次是 Polygon，達(dá) 1.23 億美元。?

（2023 各生態(tài)安全事件分布及損失）

從事件原因來看，跑路事件最多，達(dá) 117 件，損失約 8300 萬美元。其次為賬號(hào)被黑導(dǎo)致的安全事件。

（2023 安全事件手法圖）

• 典型攻擊事件

此節(jié)選取了 2023 年損失 Top10 的安全事件。詳情見文末的 PDF 文件內(nèi)容。

（2023 損失 Top10 的安全攻擊事件）

Rug Pull

根據(jù)慢霧區(qū)塊鏈被黑事件檔案庫 (SlowMist?Hacked) 統(tǒng)計(jì)，2023 年跑路 Rug Pull 事件高達(dá) 117 起，導(dǎo)致?lián)p失約 8300 萬美元。其中，Base 生態(tài)損失最高，達(dá) 3250 萬美元。其次是 BSC 生態(tài)，達(dá) 2305 萬美元。

（2023 致?lián)p前十跑路事件及損失）

（2023 各生態(tài)跑路事件分布及損失）

Rug Pull 是一種騙局，通常是項(xiàng)目方主動(dòng)作惡，以多種方式發(fā)生：比如項(xiàng)目方啟動(dòng)初始流動(dòng)性，推高價(jià)格后撤回流動(dòng)性；比如項(xiàng)目方先創(chuàng)建一個(gè)加密項(xiàng)目，通過營(yíng)銷手段吸引加密用戶投資，并在合適的時(shí)機(jī)毫無征兆地卷走用戶投資的資金，拋售加密資產(chǎn)，最終銷聲匿跡；比如推出一個(gè)網(wǎng)站，在吸引了數(shù)十萬存款后關(guān)閉；比如項(xiàng)目方在項(xiàng)目中留下了后門代碼。無論如何，任何一種類型的 Rug Pull 都會(huì)讓投資者遭受損失。

同時(shí)，本節(jié)介紹了一個(gè)由合約存儲(chǔ)引起的極其隱蔽的 Rug Pull 案例：在項(xiàng)目代幣沒有任何增發(fā)記錄的情況下，惡意用戶使用未被記錄的大量增發(fā)代幣卷走了池子中的資金。

欺詐

近年來，加密貨幣市場(chǎng)逐漸變成騙子們實(shí)施欺詐的沃土。騙子常常通過虛假賬戶冒充名人、交友殺豬盤、宣傳虛假的交易平臺(tái)、龐式騙局等進(jìn)行詐騙，甚至隨著技術(shù)的發(fā)展，騙子還會(huì)用人工智能軟件來讓騙局更具說服力。本節(jié)將介紹一個(gè)主要發(fā)生在香港的加密貨幣騙局——JPEX 事件。據(jù)相關(guān)說法，JPEX 的暴雷可能成為香港歷史上最大的金融欺詐案。

（JPEX 事件時(shí)間線圖）

• 釣魚 / 騙局手法

此節(jié)選取我們于 2023 年披露的部分釣魚 / 騙局手法：

1、WalletConnect 釣魚風(fēng)險(xiǎn)

2、Permit 簽名釣魚

3、假 Skype App 釣魚

4、偽裝成轉(zhuǎn)賬地址的釣魚網(wǎng)址

5、Telegram 定點(diǎn)欺詐攻擊

6、Create2 釣魚風(fēng)險(xiǎn) (https://drops.scamsniffer.io/post/wallet-drainers-starts-using-create2-bypass-wallet-security-alert)

7、SIM 卡交換攻擊

三、反洗錢態(tài)勢(shì)

本節(jié)分為反洗錢及監(jiān)管動(dòng)態(tài)、安全事件反洗錢、黑客團(tuán)伙畫像及動(dòng)態(tài)、洗錢工具四部分。

• 反洗錢及監(jiān)管動(dòng)態(tài)

在 2023 年，加密貨幣的世界持續(xù)經(jīng)歷動(dòng)蕩不安。在上一輪加密牛市期間，SBF 和 CZ 這兩位行業(yè)巨頭的每一個(gè)舉動(dòng)似乎都能對(duì)市場(chǎng)產(chǎn)生深遠(yuǎn)影響。然而在 11 月份，聯(lián)邦陪審團(tuán)以對(duì) FTX 的倒閉導(dǎo)致的欺詐和共謀的指控，判定 SBF 有罪。僅僅幾周后，幣安接受了指控，支付了 43 億美元的罰款，CZ 也同意了放棄對(duì)幣安的控制權(quán)。隨著加密資產(chǎn)行業(yè)在風(fēng)雨飄搖的「寒冬」與熊市之間跌宕起伏，各國(guó)政府和國(guó)際組織對(duì)此也表現(xiàn)出更為謹(jǐn)慎的態(tài)度，各國(guó)對(duì)于加密貨幣的監(jiān)管政策還在逐步形成中。具體政策及執(zhí)法行動(dòng)見文末的 PDF。

• 安全事件反洗錢

1、資金凍結(jié)數(shù)據(jù)

在 InMist 情報(bào)網(wǎng)絡(luò)合作伙伴的大力支持下，2023 年度 SlowMist 協(xié)助客戶、合作伙伴及公開被黑事件凍結(jié)資金共計(jì)超過 1250 萬美元。

2、資金歸還數(shù)據(jù)

2023 年遭受攻擊后仍能全部或部分收回?fù)p失資金的事件共有 31 起。在這 31 起事件中，被盜資金總計(jì)約 3.84 億美元，其中的 2.97 億美元被返還，占被盜資金的 77%。在這 31 起事件中，有 10 個(gè)協(xié)議的資金被全部退回。

（2023 追回全部被盜資金的事件）

• 黑客團(tuán)伙畫像及動(dòng)態(tài)

1、黑客團(tuán)伙 Lazarus Group

根據(jù) 2023 年的公開信息，截止到 6 月份，仍然沒有任何重大加密貨幣盜竊案被歸因?yàn)槌r黑客 Lazarus Group。從鏈上活動(dòng)來看，朝鮮黑客 Lazarus Group 主要在清洗 2022 年盜竊的加密貨幣資金，其中包括 2022 年 6 月 23 日 Harmony 跨鏈橋遭受攻擊損失的約 1 億美元的資金。朝鮮黑客 Lazarus Group 除了在清洗 2022 年盜竊的加密貨幣資金以外，其他的時(shí)間也沒有閑著，這個(gè)黑客團(tuán)伙在黑暗中蟄伏著，暗中地進(jìn)行 APT 相關(guān)的攻擊活動(dòng)。這些活動(dòng)直接導(dǎo)致了從 6 月 3 日開始的加密貨幣行業(yè)的「黑暗 101 日」。

在「黑暗 101 日」期間，共計(jì)有 5 個(gè)平臺(tái)被盜，被盜金額超 3 億美元，其中被盜對(duì)象多為中心化服務(wù)平臺(tái)。

根據(jù)我們的分析，朝鮮黑客 Lazarus Group 的洗錢方式也隨著時(shí)間在不斷進(jìn)化，隔一段時(shí)間就會(huì)有新型的洗錢方式出現(xiàn)，洗錢方式變化的時(shí)間表見文末 PDF。

2、釣魚團(tuán)伙 Wallet Drainers

注：本小節(jié)由 Scam Sniffer 傾情撰寫，在此表示感謝。

Wallet Drainer 作為一種加密貨幣相關(guān)的惡意軟件，在過去的一年里取得了顯著的「成功」。這些軟件被部署在釣魚網(wǎng)站上，騙取用戶簽署惡意交易，進(jìn)而盜取其加密貨幣錢包中的資產(chǎn)。這些釣魚活動(dòng)以多種形式不斷地攻擊普通用戶，導(dǎo)致許多人在無意識(shí)地簽署惡意交易后遭受了重大財(cái)產(chǎn)損失。在過去一年，Scam Sniffer 監(jiān)控到這些 Wallet Drainers 已經(jīng)從大約 32 萬受害者中盜取了將近 2.95 億美金的資產(chǎn)。

值得一提的是，3 月 11 號(hào)這一天有接近 700 萬美金被盜。大部分是因?yàn)?USDC 匯率波動(dòng)，遭遇了假冒 Circle 的釣魚網(wǎng)站。也有大量的被盜臨近 3 月 24 號(hào) Arbitrum 的 Discord 被黑以及后續(xù)的空投。

每次波峰都伴隨著關(guān)聯(lián)群體性事件?？赡苁强胀?，也可能是黑客事件。

隨著 ZachXBT 揭露 Monkey Drainer 后，他們?cè)诨钴S了 6 個(gè)月后宣布退出，然后 Venom 接替了他們的大部分客戶。隨后 MS, Inferno, Angel, Pink 也都在 3 月份左右出現(xiàn)。隨著 Venom 在 4 月份左右停止服務(wù)，大部分的釣魚團(tuán)伙轉(zhuǎn)向了使用其他的服務(wù)。按照 20% 的 Drainer 費(fèi)用， 他們通過出售服務(wù)獲利至少 4700 萬美金。

• 洗錢工具

1、Sinbad 混幣器

2、Tornado Cash

3、eXch

4、Railgun

四、總結(jié)

本報(bào)告總結(jié)了 2023 年區(qū)塊鏈行業(yè)的關(guān)鍵監(jiān)管合規(guī)政策及動(dòng)態(tài)，包括但不限于全球范圍內(nèi)對(duì)于加密貨幣的監(jiān)管態(tài)度以及一系列關(guān)鍵的政策變化。同時(shí)，我們還總結(jié)了 2023 年的區(qū)塊鏈安全事件和反洗錢動(dòng)態(tài)，對(duì)部分洗錢工具進(jìn)行了分析，對(duì)那些典型的安全事件和釣魚騙局進(jìn)行了說明，并提出了相應(yīng)的防范和應(yīng)對(duì)措施。希望這份報(bào)告能為讀者提供有價(jià)值的信息，幫助讀者更全面地了解區(qū)塊鏈行業(yè)的安全和反洗錢現(xiàn)狀，使每一位行業(yè)參與者都能從中受益，為推動(dòng)區(qū)塊鏈生態(tài)安全的發(fā)展貢獻(xiàn)出一份力量。