本文僅用於分析參考，不作爲財務投資建議。
一、5月黑客事件概述
近年來，隨着加密貨幣市場的蓬勃發展，相關的安全風險也日益增多，給投資者帶來了嚴重的損失和困擾。
根據慢霧科技平臺(https://hacked.slowmist.io/)的統計數據顯示，2024年5月發生了近20起黑客事件，總損失金額達到1.26億美元左右，損失相當巨大。
其中有3起黑客事件的損失超過千萬美元！分別是遊戲平臺 #Gala Games因私鑰泄露損失2180萬美元、Sonne Finance因遭受閃電貸攻擊損失2000萬美元、某鯨魚遭遇地址中毒攻擊損失7000萬美元。
在這些黑客事件中，所採用的攻擊方式有Rug Pull、地址投毒、安全漏洞、合約漏洞、閃電貸攻擊、私鑰泄露這幾種，其中合約漏洞佔比最高，爲37%，其次是Rug Pull，爲26%。
二、鏈上安全風險
爲了幫助大家更好地瞭解鏈上的一些安全風險，接下來本文將通過具體的事件來進行進一步的分析和說明。
事件一：1155WBTC釣魚事件
5月3日，某鯨魚遭遇地址中毒攻擊，導致1155個 #WBTC 損失，價值約7000萬美元！此次事件造成的損失之大令人震驚。
這起事件中受害者的地址爲0x1E227979f0b5BC691a70DEAed2e0F39a6F538FD5；其目標轉賬地址爲0xd9A1b0B1e1aE382DbDc898Ea68012FfcB2853a91；釣魚地址爲0xd9A1C3788D81257612E2581A6ea0aDa244853a91。我們可以看到，除去0x後的首4位及尾6位，剩下的和受害者目標轉賬地址完全一致！
黑客會事先生成大量釣魚地址，分佈式部署批量程序後，根據鏈上用戶動態，向目標轉賬地址發起相同首尾號地址釣魚攻擊。
用戶轉賬後，黑客立即使用碰撞出來的釣魚地址（大概3分鐘後）尾隨一筆交易（釣魚地址向用戶地址轉了0ETH），經過這個步驟之後釣魚地址就出現在了用戶的交易記錄裏。
由於用戶習慣從錢包歷史記錄裏複製最近轉賬信息，看到了這筆尾隨的釣魚交易後沒有仔細檢查自己複製的地址是否正確，結果將1155枚WBTC誤轉給了釣魚地址！
爲了防止類似的事情發生，我們在進行任何操作前一定要仔細覈對地址，也可以將目標地址保存到錢包的地址簿當中，下次轉賬可以從錢包的地址簿中找到目標地址。此外，最好是開啓錢包的小額過濾功能，屏蔽此類零轉賬，減少被釣魚風險。
當然了，如果你使用的錢包默認只顯示首4位和尾4位地址，而你還要堅持用這個錢包的話，可以考慮先小額轉賬測試，倘若不幸中招，也是小傷。
事件二：Pump.fun遭閃電貸攻擊
Pump.fun是一個基於Solana的memecoin生成器，5月16日該項目遭攻擊，損失約190萬美元，攻擊者隨後開始將資金空投到一些隨機的錢包中。Pump.fun在推特上發佈聲明表示，此次攻擊是由於一名前員工濫用其在公司的特權，非法獲取提款權限，並獲取了“被黑賬戶”的私鑰，然後藉助借貸協議實施了閃電貸攻擊。
據悉，這位Pump.fun的前員工擁有Pump用於創建每個土狗Raydium交易對這個功能權限的錢包賬戶，這個我們稱之爲“被黑賬戶”，而在Pump上創建的土狗在未達到上Raydium標準前的所有Bonding Curve LP底池，我們稱爲“預備賬戶”。
然後這位前員工通過Marginfi借了一筆閃電貸，用來把所有已創建但尚未達到可以上Raydium狀態的池子全部填滿。本來的操作是把這些池子中的$Sol轉移到“被黑賬戶”，因爲達到了上Raydium的標準，但他在此時抽走了轉入的$Sol，導致這些本該上Raydium的memecoin都無法上Raydium，因爲池子沒錢了。
而這位前員工之所以擁有“被黑賬戶”的私鑰，很大一部分原因是團隊管理不善。其次，我們可以猜測一下，這個填滿池子的行爲可能是他之前的工作之一，就像去年Friendtech V1推出時，最初幾天有大量搶買你Key的機器人，這很可能是官方自己的，以起到爲Key做市並引導最初熱度的作用。我們還可以再大膽推測一下，當時Pump爲了啓動項目時，讓這位員工負責用項目自己的資金去填滿這些幣的池子，目的是讓它們能上Raydium然後拉盤製造關注度，只是沒想到最後會成爲內鬼的鑰匙。
所以仿盤們一定要注意，不要輕易只抄襲表面，以爲產品一上線就會有交易。在搞互助盤時，你必須提供初始的推動力。同時，務必做好權限管理，重視安全。
事件三：Gala Games二度被黑
近日鏈遊Gala Games再次遭受黑客攻擊，暴露了嚴重的安全漏洞，有一名黑客通過平臺的智能合約鑄造50億枚代幣，價值2.14億美元左右，導致代幣價格暴跌20%，給用戶和平臺帶來了巨大的損失。
黑客是通過智能合約快速出售5.92億代幣，併成功兌換5952ETH，相當於2180萬美元，之後遊戲團隊立即採取行動，以最快的速度降低損失，將黑客的地址拉進黑名單，凍結關於更多代幣出售的權限。
發佈的聲明當中表示已經對安全和透明度作出承諾，向所有的用戶表示目前和相關的執法部門正在合作，進一步的徹查黑客。
Gala Games這次被黑主要是因爲一個安全漏洞存在於其系統中，這個漏洞允許攻擊者獲取管理員級別的權限，從而直接操作智能合約進行任意操作，使得黑客可以任意鑄造代幣的合約。這一次被黑客攻擊之後，原本Gala價格是在0.047美元下跌到0.038美元，後來又回升到0.04美元左右。
通過被黑客攻擊這件事情，反映出平臺使用智能合約在安全方面仍然是面臨着挑戰，需要進行安全措施的加強。
三、近期金狗表現
從上述內容中，我們可以看到當前鏈上安全風險的嚴峻性，儘管風險存在，但還是有一些優質項目值得我們關注的，正好平復一下我們剛纔的驚心動魄。
WOLF：Landwolf是阿爾法狼的縮影，是狼羣的領導者，是一支不可阻擋的力量，它是《男孩俱樂部》中的角色之一。截至目前它在ETH上市值爲$54.3M，近24小時交易額爲$2.1M。
ANDY：Andy是漫畫《男孩俱樂部》中PEPE的朋友之一，近期PEPE相關動漫的meme持續升溫。截至目前該幣在ETH上的市值達到$282.9M，近24小時交易額爲$7.8M。
BRETT：在Base生態部署的meme幣，Brett也是漫畫《男孩俱樂部》中的一個角色，它是一個熱愛舞蹈、時尚和帽子的青蛙，該角色引起了全球粉絲的共鳴，他們欣賞他悠閒的態度和對電子遊戲的熱愛。截至目前該幣市值達到了$1.40B，近24小時交易額爲$8.4M。
Basenji：是Base生態上的meme幣，它的名稱來自非洲巴森吉犬，它是世界上最古老的犬種之一，象徵着其獨特的特性和品質，名字中正好含有“Base”，這爲成爲Base的狗提供了完美的契機。截至目前其市值爲$53.3M，近24小時交易額達$3.4M。
GME：Reddit平臺顯示，曾經幫助推動GameStop公司股價飆升的YouTube主播“Roaring Kitty”，6月3日在該平臺發貼，這是他時隔三年後的再次發帖，內容其擁有價值6500萬美元的Gamestop股票看漲期權，執行價格爲21美元，到期日爲6月21日。截至目前Sol生態上GME市值爲$86M，近24小時成交額達$15.8M。
MOTHER：是由澳大利亞說唱歌手兼模特Iggy Azalea推出的。自發布以來，Mother Iggy已上漲超過350%。截至目前該幣的市值已達到$217.4M，近24小時交易額爲$64M。
BEER：BeerCoin生態系統在Solana區塊鏈上推出了其原生代幣BEER，儘管首次亮相時遭遇了大幅下跌，但隨後迅速展現出強勁的反彈勢頭。截至目前該幣的市值爲$428.8M，近24小時成交額達到$36.3M。
我們每週會更新一些“金狗”項目，如果大家有看到想交流的項目可以通過留言功能，或者關注推@yiyun_dan1反饋。
END
本文參考來源：
https://www.chaincatcher.com/article/2123449
https://www.chaincatcher.com/article/2124697
https://www.qklw.com/news/20240521/369168.html
