2021年的区块链举措是一个广阔的里程碑，无论用户数量如何，依然符合组织的招聘水平。 链家地产的比重远远超过了载入历史的所有其他时代。
同时，最终被称为他日的元六合、玩赚的GameFi和连锁互信的交叉链等，许多多样化的实物兴盛起来。 此外，各种传统的Defi Dapp也加快了向新水平的过渡，例如出现了Uniswap V3、Aave V3等新协议。
所有这些，不仅给区块链生态带来了活力，也带来了新的安全牺牲。 现按照分解创宇区块链安全试验室的视角，将2021区块链安全生态及各月规范安全问题进行统一回顾。
1
2021区块链安全生态系统列表
拆开创宇区块链试验室【黑客入侵及封存】，没有全面的统计数据，在停止发布本文之前，2021年区块链可盘踞的相关安全问题312起，直接亏损超过100亿美元。
与旧数据相比，依然是令人心动的高态势。 繁荣的多链系统、链互信的交叉链需求、新链上的式模仿，都为这个混乱的数字“奉献”。
关于安全问题，利用买卖所、DeFi、行驶/陷阱、钱包、公共链和其他6个纬度进行了统计。 个中以DeFi安全为优的达141件。
究其原因主要在于区块链下层本领更加幼稚，但完成合同的示范还不够完善、编制不够完善，审计还没有深入落实。 特别是合同具备直接承担资金载体和运营逻辑的功能，越来越多的黑客将目标瞄准这一领域。
另一方面，打击者使用电击信贷和链上监控变得越来越幼稚。 在打击面充分暴露的同时，各项目协议的完成也存在着广阔的分裂，这些种类繁多，无疑带来了打击的精深性和频率性。
在资金赤字方面，用途/陷阱尤为重要，整个赤字超过64亿美元。 与DeFi安全问题的多发性相比，跑步/陷阱对于人们形成的经济赤字尤为明显。
逃跑的途径是，奥纳的权力太大，可以升级合同，通过DAO比率的操作等不可避免。 此外，由于区块链胡森的回顾性，这一动作急剧走低，有项目方直接组团秘密发放自己跑路的行为，大用户失去了信心。
无论是买卖所的清算诈骗、链条上的蜜罐、假钱包、转账钓鱼，诡计多端的打击方式也带来了链条安全带的新牺牲。 当然，这不应该全面依赖安全公司，而应该期待集团安全意识选拔的落地。
2
2021年各月规范安全问题回顾
)挑战伊始
霍华德：权力掌握，手续费
1月27日，SushiSwap因收取手续费的函数生存权掌握弊端，被黑客操纵了DIGG/WETH买卖对象的滑动点，收取了WBTC/DIGG买卖对象的手续费。
安全月度紧急评估：低
每月评估：新年开始了，但不应该是新马脚的终点
)风雨开始了
霍华德：电击贷，无限许可证
Yearn Finance受到打击，黑客使用电击贷操纵3pool令牌平定，经过y Dai保障库的夸张分裂获利280万美元，保障库亏损超过1100万美元。
以太坊协议与机器Furucombo智能合约合作爆发了生存请愿授权过高的课题。 黑客可以向Furucombo代办推进打击合同，获得作为用户账户发挥作用的权限，这匹马脚超过1400万美元。
安全月度紧急评估：中
月度评估：同类马脚陆续放炮，需做好安全预警
)花式危险
霍华德：双花买卖，正确铸币，掌权
去焦点化买卖所的DODO，由于不掌握对init的权限，在黑客闪电般进行信用还款操作的过程中，通过init函数将需要还款的令牌变成自己提前加入pool的废弃物令牌，通过潜伏检测进行二次充电
Paid Network钱币铸造功能是生存的马脚，运用于铸造6000多万枚PAID令牌。
Filecoin以节点个性呈现“双花买卖”的马脚。
安全月度紧急评估：高
每月评估：马脚类满是把戏，但其中有资金安全
)经典再现
集线器沃德：打击重做，协议兼容性
Uniswap的imBTC池被黑客入侵是因为Uniswap存在与ERC777协议兼容的问题。 买卖诞生之时，ERC777的反复挪用tokensToSend可能造成了超过30万美元的损失。
安全月度紧急评估：低
月度评估：模范马脚以全新的方式表示，阐明安全观念是不可阻挡的，必须花时间前进
)八方风雨
霍华德：重新打击，共识讨论，滑点，电击信贷
房地产合同分解Spartan Protocol受到电击贷款的打击，由于震动性生存折点删帖体制的普及/删帖不同而进行对冲，出现了3050万美元的赤字
机枪项目Value DeFi因协议协助生存的讨论危险性而受到打击，亏损1000万美元，2黎明时再次受到打击，亏损1100万美元
美元；PancakeBunny 受到闪电贷打击，因为 LP 代币代价算计课题导致套利，亏空约 4500 万美元；
BurgerSwap 受到闪电贷打击，因为重入马脚以及架构课题导致套利，亏空约 330 万美元；
安全月度告急评估：高
月度评介：本月是闪电贷打击多发月份，形成的毁伤也及其远大，因而必需没有放过随便大概生存马脚的细节，避免没法挽回的了局。
Ⅵ：风 雨 依 旧
枢纽词：薅羊毛，正确变量，address(this)，闪电贷
PancakeBunny 项目仿盘 PancakeHunny 项目蒙受黑客打击，主要马脚缘由正在于mintFor函数正确地利用合约余额算作参数，且兑换 HunnyToken 利用的流动参数，导致套利可行。
以太坊 DeFi 项目 Alchemix 的 alETH 合约呈现安全课题，因为摆设剧本正确的建立 vault 值并正在挪用中利用了正确的索引，导致用户惩罚超发
BSC 链上DeFi协议 xWin Finance 受到闪电贷打击，合约未对于惩罚引荐人地方做校验，导致统一地方引荐人惩罚可累计。
安全月度告急评估：中高
月度评介：本月闪电贷打击照旧多发，其指示着掌握变量值得频频审计。
Ⅶ：逻 辑 理 性
枢纽词：私钥，双花打击，tx.origin，逻辑马脚
去焦点化跨链买卖协议 Anyswap 受到打击，马脚缘由正在于其 V3 路由器 MPC 帐户下生存两个 v3 router 买卖，这两个买卖拥有不异的 R 值出面，打击者也许反推出 MPC 账户的私钥，亏空约800万美元。
BSV 收集遭遇好心打击，形成多个区块重组，打击者借此施行了双花打击。
去焦点化跨链买卖协议 THORChain 遭遇屡次打击，因其代币个性 tx.origin 可被用做钓鱼，亏空约2500 万美元。
收益耕作协议 PolyYeld Finance 遭遇打击，因其转账时生存理论到账少于转出的弊端，被黑客运用掌握了 MasterChef 合约中代币，完结超额惩罚。
安全月度告急评估：中高
月度评介：本月生存各种型的逻辑马脚，触及私钥、转账一经功能个性等，需做更周全的思虑。
Ⅷ：危 险 之 最
枢纽词：年度亏空之最，重入打击，同类别协议打击，闪电贷
以太坊上DeFi 协议 Popsicle Finance 蒙受闪电贷报复，马脚缘由正在于 PLP 池合约对于手续费惩罚的算计生存弊端，亏空 2,070 万 美元；
跨链协议 Poly Network 受到打击，因为函数弊端导致keeper可被改动，这次打击被称为年度最大黑客事宜，亏空约 6.1 亿美元；
BSC 链上DeFi 项目 Dot.Finance 遭遇闪电贷打击，这次打击属于 PancakeBunny 同类别协议打击，亏空近 43 万美元，迄今为止，此类打击已形成亏空超 5,000 万美元；
以太坊上的 DeFi 协议 Cream Finance 蒙受重入马脚报复，亏空超 1800 万美元；
安全月度告急评估：高
月度评介：本月各种打击亏空都十分辽阔，还有着可谓整年亏空之最的Poly Network打击，该月份打击没有仅作用到新兴的跨链项目也对于同类别的协议敲响警钟，这份作用延续着整体区块链安全生态。
Ⅸ：问 题 依 旧
枢纽词：初始化打击，恒定乘积校验，预言机操控，闪电贷
NFT 赛马项目 DeRac 被打击，其马脚原理是：Vesting 合约 未施行 init 未初始化损坏，进而让黑客初始化了 init 中他想要的参数，最终经过重要支款函数提取了合约资金，亏空约400万美元。
去焦点化买卖所 NowSwap 受到黑客打击，因为没有改动 swap 函数的参数导致闪电贷的恒定乘积校验逻辑作废，打击者返还全体闪电贷金额即被以为是全面偿还，进而完结了打击，亏空金额超100万美元。
假贷协议 Vee.Finance ，超3500万美元物业被盗，据官方考察，极大概是少量点未准确和权力校验课题导致预言机代价被安排。
去焦点化假贷协议Compound呈现变量树立正确转化了更多的 COMP 代币， 该马脚亏空约 28 万枚 COMP 代币。
安全月度告急评估：高
月度评介：本月各种打击亏空照旧辽阔，但相较于新式马脚，大普遍马脚都属于可回首马脚即一经呈现过的马脚。
Ⅹ：漏 洞 多 样 化
枢纽词：价值形容，修理规划，屡次打击
以太坊上主动收益协议 Indexed Finance 受到打击，其马脚孕育的缘由正在于协议经过一种代币来形容整体矿池价值，亏空约1600万美元。
去焦点化假贷协议 Compound 正在试图经过 社区提案修理震动性挖矿代币散发合约含有的马脚的同时，由于drip() 函数的挪用而向马脚合约打入了20万枚 comp 代币，由此该协议已面临1.58 亿美元的潜伏亏空。
以太坊上 DeFi 假贷协议 Cream Finance 再遭遇打击，此次打击孕育的当中代码缘由正在于代价因子pricePerShare经过简捷的物业数额占近来动静定价，亏空约 1.3 亿美元。
安全月度告急评估：高
月度评介：各类马脚孕育的状况也是各有分歧，有矿池功能生存课题、有兑换功能生存课题、以至有铸币功能生存课题等，不过 Cream Finance 该年度一经屡次遭遇打击实属应该做好防护。
Ⅺ：课题多元化
枢纽词：预言机操控，处置打击，私钥泄漏
以太坊上的 DeFi 协议 VesperFi Fianance 蒙受预言机操控打击，亏空超300 万美元。
Curve.Finance 遭 Mochi 牢靠币 USDM 团队「处置打击」，亏空超 3000 万美元。
DeFi 假贷协议 bZx 正在 Polygon 以及 BSC 链上的私钥泄漏事宜已导致超 5500 万美元物业被盗。
安全月度告急评估：高
月度评介：该月份异样课题重要，有传统的预言机安全课题、私钥泄漏课题以至还有着项目方反撸矿工的操作。
Ⅻ：经 典 再 现
枢纽词：闪电贷，重入
Fantom 链上复合收益平台 GrimFinance 蒙受了闪电贷打击，打击者运用 depoistFor 函数没有生存 token 校验，经过将 token 地方指向自身的打击合约完结重入打击，亏空超 3000 万美元。
Definer 蒙受预言机操控打击，课题正在于 OEC 链上对付预言机的完结生存课题，利用了简单震动池正在一个时光点的池内代币余额算作代价源进而导致了事故的产生。
安全月度告急评估：中
月度评介：传统的预言机安全课题与重入安全课题，不过杀伤力仍然辽阔。
3
总 结
通常往昔，皆为序章。
2021年，注定是没有平庸的一年。对于区块链而言，各类新实物不停呈现的同时，也孕育了诸多的安全课题，同时带来了全新的安全寻衅。
正在这些各种安全事宜中最亮眼的名词当属闪电贷，正在上述典范打击事宜中闪电贷器械被利用了数10次。而打击难度低，收益高的跑路以及诈骗也时有产生。每年对付区块链安全所形成的亏空也仍正在不停推广，并且没有一丝暂缓之势。
正在这些打击中，DeFi 仍是区块链安全的重灾地，因为各类项目方完结的各类性以及复用代码形成的领会分裂，导致了如许多的经济亏空值得每一集体沉思。这没有是某一集体大概某一个构造的事，而是须要大伙行业公共集体安全意识的选拔。
最终，指望专家正在新的一年中，以史为鉴，研讨前行。
分解创宇区块链测验室官网
创宇存证平台｜分解创宇仅有指定存证平台
关连咱们
存眷咱们
微博：
https://weibo.com/BlockchainLab
知乎:
https://www.zhihu.com/org/zhi-dao-chuang-yu-qu-kuai-lian-an-quan-shi-yan-shi
Twitter:
https://twitter.com/KS_Blockchain
Medium:
https://medium.com/@Knownsec_Blockchain_Lab
搜寻 分解创宇区块链测验室，分解创宇区块链安全测验室或 Knownsec Blockchain Lab 可正在以下平台找到咱们。