本文仅用于分析参考，不作为财务投资建议。
一、5月黑客事件概述
近年来，随着加密货币市场的蓬勃发展，相关的安全风险也日益增多，给投资者带来了严重的损失和困扰。
根据慢雾科技平台(https://hacked.slowmist.io/)的统计数据显示，2024年5月发生了近20起黑客事件，总损失金额达到1.26亿美元左右，损失相当巨大。
其中有3起黑客事件的损失超过千万美元！分别是游戏平台 #Gala Games因私钥泄露损失2180万美元、Sonne Finance因遭受闪电贷攻击损失2000万美元、某鲸鱼遭遇地址中毒攻击损失7000万美元。
在这些黑客事件中，所采用的攻击方式有Rug Pull、地址投毒、安全漏洞、合约漏洞、闪电贷攻击、私钥泄露这几种，其中合约漏洞占比最高，为37%，其次是Rug Pull，为26%。
二、链上安全风险
为了帮助大家更好地了解链上的一些安全风险，接下来本文将通过具体的事件来进行进一步的分析和说明。
事件一：1155WBTC钓鱼事件
5月3日，某鲸鱼遭遇地址中毒攻击，导致1155个 #WBTC 损失，价值约7000万美元！此次事件造成的损失之大令人震惊。
这起事件中受害者的地址为0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5；其目标转账地址为0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91；钓鱼地址为0xd9A1C3788D81257612E2581A6ea0aDa244853a91。我们可以看到，除去0x后的首4位及尾6位，剩下的和受害者目标转账地址完全一致！
黑客会事先生成大量钓鱼地址，分布式部署批量程序后，根据链上用户动态，向目标转账地址发起相同首尾号地址钓鱼攻击。
用户转账后，黑客立即使用碰撞出来的钓鱼地址（大概3分钟后）尾随一笔交易（钓鱼地址向用户地址转了0ETH），经过这个步骤之后钓鱼地址就出现在了用户的交易记录里。
由于用户习惯从钱包历史记录里复制最近转账信息，看到了这笔尾随的钓鱼交易后没有仔细检查自己复制的地址是否正确，结果将1155枚WBTC误转给了钓鱼地址！
为了防止类似的事情发生，我们在进行任何操作前一定要仔细核对地址，也可以将目标地址保存到钱包的地址簿当中，下次转账可以从钱包的地址簿中找到目标地址。此外，最好是开启钱包的小额过滤功能，屏蔽此类零转账，减少被钓鱼风险。
当然了，如果你使用的钱包默认只显示首4位和尾4位地址，而你还要坚持用这个钱包的话，可以考虑先小额转账测试，倘若不幸中招，也是小伤。
事件二：Pump.fun遭闪电贷攻击
Pump.fun是一个基于Solana的memecoin生成器，5月16日该项目遭攻击，损失约190万美元，攻击者随后开始将资金空投到一些随机的钱包中。Pump.fun在推特上发布声明表示，此次攻击是由于一名前员工滥用其在公司的特权，非法获取提款权限，并获取了“被黑账户”的私钥，然后借助借贷协议实施了闪电贷攻击。
据悉，这位Pump.fun的前员工拥有Pump用于创建每个土狗Raydium交易对这个功能权限的钱包账户，这个我们称之为“被黑账户”，而在Pump上创建的土狗在未达到上Raydium标准前的所有Bonding Curve LP底池，我们称为“预备账户”。
然后这位前员工通过Marginfi借了一笔闪电贷，用来把所有已创建但尚未达到可以上Raydium状态的池子全部填满。本来的操作是把这些池子中的$Sol转移到“被黑账户”，因为达到了上Raydium的标准，但他在此时抽走了转入的$Sol，导致这些本该上Raydium的memecoin都无法上Raydium，因为池子没钱了。
而这位前员工之所以拥有“被黑账户”的私钥，很大一部分原因是团队管理不善。其次，我们可以猜测一下，这个填满池子的行为可能是他之前的工作之一，就像去年Friendtech V1推出时，最初几天有大量抢买你Key的机器人，这很可能是官方自己的，以起到为Key做市并引导最初热度的作用。我们还可以再大胆推测一下，当时Pump为了启动项目时，让这位员工负责用项目自己的资金去填满这些币的池子，目的是让它们能上Raydium然后拉盘制造关注度，只是没想到最后会成为内鬼的钥匙。
所以仿盘们一定要注意，不要轻易只抄袭表面，以为产品一上线就会有交易。在搞互助盘时，你必须提供初始的推动力。同时，务必做好权限管理，重视安全。
事件三：Gala Games二度被黑
近日链游Gala Games再次遭受黑客攻击，暴露了严重的安全漏洞，有一名黑客通过平台的智能合约铸造50亿枚代币，价值2.14亿美元左右，导致代币价格暴跌20%，给用户和平台带来了巨大的损失。
黑客是通过智能合约快速出售5.92亿代币，并成功兑换5952ETH，相当于2180万美元，之后游戏团队立即采取行动，以最快的速度降低损失，将黑客的地址拉进黑名单，冻结关于更多代币出售的权限。
发布的声明当中表示已经对安全和透明度作出承诺，向所有的用户表示目前和相关的执法部门正在合作，进一步的彻查黑客。
Gala Games这次被黑主要是因为一个安全漏洞存在于其系统中，这个漏洞允许攻击者获取管理员级别的权限，从而直接操作智能合约进行任意操作，使得黑客可以任意铸造代币的合约。这一次被黑客攻击之后，原本Gala价格是在0.047美元下跌到0.038美元，后来又回升到0.04美元左右。
通过被黑客攻击这件事情，反映出平台使用智能合约在安全方面仍然是面临着挑战，需要进行安全措施的加强。
三、近期金狗表现
从上述内容中，我们可以看到当前链上安全风险的严峻性，尽管风险存在，但还是有一些优质项目值得我们关注的，正好平复一下我们刚才的惊心动魄。
WOLF：Landwolf是阿尔法狼的缩影，是狼群的领导者，是一支不可阻挡的力量，它是《男孩俱乐部》中的角色之一。截至目前它在ETH上市值为$54.3M，近24小时交易额为$2.1M。
ANDY：Andy是漫画《男孩俱乐部》中PEPE的朋友之一，近期PEPE相关动漫的meme持续升温。截至目前该币在ETH上的市值达到$282.9M，近24小时交易额为$7.8M。
BRETT：在Base生态部署的meme币，Brett也是漫画《男孩俱乐部》中的一个角色，它是一个热爱舞蹈、时尚和帽子的青蛙，该角色引起了全球粉丝的共鸣，他们欣赏他悠闲的态度和对电子游戏的热爱。截至目前该币市值达到了$1.40B，近24小时交易额为$8.4M。
Basenji：是Base生态上的meme币，它的名称来自非洲巴森吉犬，它是世界上最古老的犬种之一，象征着其独特的特性和品质，名字中正好含有“Base”，这为成为Base的狗提供了完美的契机。截至目前其市值为$53.3M，近24小时交易额达$3.4M。
GME：Reddit平台显示，曾经帮助推动GameStop公司股价飙升的YouTube主播“Roaring Kitty”，6月3日在该平台发贴，这是他时隔三年后的再次发帖，内容其拥有价值6500万美元的Gamestop股票看涨期权，执行价格为21美元，到期日为6月21日。截至目前Sol生态上GME市值为$86M，近24小时成交额达$15.8M。
MOTHER：是由澳大利亚说唱歌手兼模特Iggy Azalea推出的。自发布以来，Mother Iggy已上涨超过350%。截至目前该币的市值已达到$217.4M，近24小时交易额为$64M。
BEER：BeerCoin生态系统在Solana区块链上推出了其原生代币BEER，尽管首次亮相时遭遇了大幅下跌，但随后迅速展现出强劲的反弹势头。截至目前该币的市值为$428.8M，近24小时成交额达到$36.3M。
我们每周会更新一些“金狗”项目，如果大家有看到想交流的项目可以通过留言功能，或者关注推@yiyun_dan1反馈。
END
本文参考来源：
https://www.chaincatcher.com/article/2123449
https://www.chaincatcher.com/article/2124697
https://www.qklw.com/news/20240521/369168.html
