加载中 ...
首页 > 股票 > 区块链 > 正文

FTX事件始末 黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

2023-01-05 12:13:55 来源:广东财经网

2022年第四季度的主要事件想必无人不知,而这也是能够被载入Web 3.0史册的事件:FTX的急转直下,近乎于一夜之间崩塌。虽然该事件在导火索被点燃前已有了明显的倾塌征兆,但因其毕竟是行业内的第二大中心化交易所,FTX的倒台无疑还是震惊了许多人。

我们在此也会为大家简单剖析一下这次事件造成的原因,以及使这种欺诈行为得以发生的非Web 3.0商业模式的独特特征。

FTX事件让数十万,甚至数百万的用户的数十亿美元资产无法提取从而变成永久性损失。随着人们的注意力从Web 3.0平台遭受的持续损失上转移开,DeFi在相比之下出现了一段“缓和期”。中心化交易所和服务永远无法如去中心化的应用程序一般成为Web 3.0持续运转的关键。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

因此如果Web 3.0要发挥其真正的潜力,就需要百分百执行安全审计。本报告将分析过去三个月里Web 3.0世界中最主要的几起安全事件。

若想要回顾2022全年的情况,请持续关注CertiK官方公众号,我们随后将发布《2022年度Web3.0行业安全报告》。

第四季度行业安全概要

① 2022年第四季度,恶意攻击者从Web 3.0领域中盗取了约9.5亿美元的资产。

② 这一数字相比今年第一季度损失的13亿美元峰值有所下降,但较于第三季度损失的5.04亿美元增加了88%

③ 仅11月的资产损失就占据了第四季度总损失的50%以上,主要资产损失来自于FTX钱包在该交易所崩溃期间损失的约5亿美元

④ 第四季度发生了78起退出骗局,共盗取了约5268万美元,37起闪电贷与预言机操纵的漏洞共造成了约1439万美元的损失。

⑤ 整个2022年Web 3.0领域的安全形态仍为大规模攻击占据主要资产损失,仅三个独立的跨链桥漏洞就造成了约1.1亿美元的损失。

⑥ 第四季度CertiK审计的Web 3.0项目数量仍在持续上升,目前审计的项目总数已达到了5046个

FTX 顷刻崩塌

FTX,作为曾经的第二大中心化加密货币交易所,日落后已燃尽余辉。曾几何时,Sam Bankman-Fried(山姆·班克曼-弗里德)的面孔还出现在世界各地的广告上。在过去的这段时间,有无数记者们以Sam为主题撰写了文章。迈阿密热火的主场场馆甚至也已被FTX冠名(由AmericanAirlines Arena改为了FTX Arena),冠名合约有效期至2040年。直到今年11月初,FTX还在高歌猛进,

然而这一切都在一周之内轰然倒塌,化为泡影。目前,Sam缴纳了2.5亿美元的高额保释金后保释出狱,两名Alameda公司的高级管理人员承认检方指控犯罪事实,并同意配合对其前老板的起诉。

FTX总部设立于巴哈马,虽然没有人知道美国法院将如何对其采取行动,但是我们可以在此先将该事件的始末进行初步梳理⬇️:

11月2日:CoinDesk发布了一篇文章,表达了对Alameda Research资产中由FTT(FTT是FTX创建的交易所token)组成比例的担忧。

11月6日:Binance首席执行官赵长鹏“CZ”表示,他将出售Binance总额为5.8亿美元的FTT持股,这些持股来自他对FTX的早期投资。

Alameda Research首席执行官Caroline Ellison现在已经承认了两项电信欺诈罪和五项共谋罪,涉及电信、证券和商品欺诈以及洗钱:为CZ提供了一个场外交易。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

原文大致翻译如下:@cz_binance 如果你想尽量减少市场对你销售FTT的影响,今天Alameda会很愿意以22美元的价格向你购买所有FTT!   

CZ显然拒绝了这一提议,然而当FTT最终突破22美元大关后,其价格骤然暴跌。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

来源: CoinMarketCap

11月7日:FTX用户的恐慌情绪蔓延开来,大量用户试图从平台上撤回他们的资金,但是仅有极少部分用户成功。

11月8日:在对围绕其交易所偿付能力的传言保持了长时间的沉默后,Sam Bankman-Fried终于宣布将FTX出售给Binance。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

原文大致翻译如下:大家好:我有几个消息要宣布。事情已经圆满结束,http://FTX.com 的第一个,也是最后一个投资者是相同的:我们已与Binance就FTX.com战略交易达成协议(等待尽职调查结果)。

11月9日:Binance退出了交易。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

原文大致翻译如下:根据企业尽职调查的结果,以及关于客户资金处理不当和涉嫌美国机构调查的最新新闻报道,我们决定不再对http://FTX.com 进行潜在收购。

与此同时,美国证券交易委员会(SEC)和司法部(DoJ)对FTX展开调查。

11月10日:巴哈马证券委员会冻结了FTX并任命了清算人。

11月11日:FTX按照美国破产法第11章申请破产。Sam Bankman-Fried辞去首席执行官一职,由曾管理Enron公司破产程序的John J. Ray III(约翰·雷三世)接任。

11月12日:《华尔街日报》报道,FTX将客户的存款交给Alameda Research,以帮助其履行债务偿还责任。而Alameda的高管知道这一协议其实违反了FTX的服务条款。

大约有5亿美元的FTX资产被从平台转出。有传言说巴哈马政府曾指示撤出资产,但随后该政府否认了这一说法。

11月14日:纽约的联邦检察官对欺诈指控展开调查。

11月16日:美国立法者要求Sam Bankman-Fried以及Alameda和Binance的高管在12月的国会山听证会上作证。

11月17日:即将上任的FTX首席执行官John J. Ray III在一份法庭文件中说:“在他的职业生涯中,包括在Enron丑闻期间,他从未见过失败的如此透彻的公司管理控制。”这包括“系统的完整性受到损害,国外监管存在缺陷,以及控制权集中在极少数没有经验、不成熟和不良信誉的个人手中。”

12月12日:在纽约联邦检察官提出刑事指控后,Sam在巴哈马被捕。

12月13日:美国证券交易委员会指控Sam Bankman-Fried诈骗投资者。

12月20日:在被拘留8天后,Sam Bankman-Fried同意被引渡到美国。

12月27日:据彭博社报道,美国司法部已对11月FTX价值数亿美元资产遭到提取一事展开调查。

目前,Caroline Ellison和Gary Wang已经承认了联邦指控,其欺诈行为已被证实。

如果想通过收听方式了解更多FTX事件始末及细节,请复制以下链接至浏览器https://m.ximalaya.com/sound/590419909?from=pc

播放CertiK首席运营官曹亚昕博士关于《FTX极速坠落》的专访节目。

以去中心化为荣的Web 3.0世界,为何会出现如此问题?

其实,FTX并不是一家Web 3.0货币公司。它是一个允许进行数字资产交易的中心化平台。它依赖于用户对平台遵守其服务条款的信任,而高管层则恶意利用了这种信任。

那么有更好的解决方案吗?

当然。与FTX这样的中心化交易所相对应的则是Web 3.0行业中的去中心化交易所(DEX)。而FTX管理层的欺诈行为在DEX中可以说是几乎不可能实现的。因为资金流动公开透明,用户的存款不可能被秘密转移到某些交易公司。

因此,开放的Web 3.0协议可作为FTX事件的解决方案,而其也不该被抹上与欺诈性中心化交易所相同的污点。

不过,目前Web 3.0解决方案尚未进入黄金时代。如上文所述,仅2022年第四季度,就有约10亿美元的资产从生态系统中不翼而飞。在Web 3.0世界能够实现其安全、自由和公平的生态系统供所有人使用的承诺之前,安全标准需要不断提高

下面就让我们来看一下第四季度最大的漏洞事件之一:Mango Markets事件。该事件凸显了在构建Web 3.0协议时平台需谨慎设计的重要性。

Mango Markets遭攻击

损失1.16亿美元

在Solana上运行的Mango Markets平台,于2022年10月初遭到攻击,损失了约1.16亿美元。Mango Markets利用Serum(DEX)进行现货保证金交易,而永久期货则在Mango Markets自己的订单簿上进行交易。Mango Markets 由MNGO持有人通过Mango DAO管理。

而这一攻击事件即是利用了该协议的组成部分。

推特用户Avraham Eisenberg公开声称自己参与了Mango Markets的漏洞攻击,并暗示了还有其他未知人士同他一起操作。这些人利用了大量资金来操纵Mango Markets协议。

2022年10月11日,攻击者们在Mango Markets上夸大了他们的抵押品价值,并针对这些资金进行了大量贷款。

攻击者们用500万美元的USDC为钱包CQvKSNn(账户A)提供资金,然后在订单簿上铸造了4.83亿份的MNGO永续合约。

随后,攻击者们向第二个钱包4ND8FVPj(账户B)提供资金,并用它以每单位0.0382美元的价格购买4.83亿单位的MNGO。因此,攻击者能够将MNGO的价格提高到0.91美元,也因此能够让账户B借到更多资金。账号B以MNGO作为抵押品,借出了1.16亿美元的贷款,此时 Mango 的流动性被耗尽:账户A有大约有11,537,729.05美元的债务无法收回,账户B有大约1.15亿美元的借贷token。

Eisenberg声称他的团队执行了一个“高利润的交易策略”,使Mango Markets陷入破产,但他也指出,他有兴趣归还一部分用户资金。Mango Markets团队最终与攻击者进行了谈判,攻击者在10月20日DAO治理投票后归还了6700万美元。剩下的被盗资金被转移到钱包Hy4ZsZk,随后被进一步转移。目前该钱包仍持有约274万美元资产。

FTX事件始末  黑客攻击总结:CertiK2022 第四季度Web3.0行业安全报告

原文大致翻译如下:开发团队部分忽略了以这种方式设置参数的后果和风险。但我相信我们所有的行为都是合法的公开市场行为,也是按照设计使用协议。

遭遇攻击耗尽其流动性的项目很少有机会翻身,Mango Markets是否会恢复犹未可知。Mango Markets网站称,他们将部署第四个版本的平台,其中包括已更新的安全和风险缓释策略,不过相关细节还没有被公布。

目前,Mango Markets的Discord仍具有活跃度,每隔几天就会有用户要求提供关于第四版部署的信息,其管理员也处于活跃在线状态。不过目前这个阶段,该团队似乎没有通报发布日期或与他们计划有关的其他信息。

在Mango Markets事故的后期,Avraham Eisenberg在波多黎各被捕,并于12月27日被司法部指控商品欺诈和商品操纵。此案的结果将成为美国DeFi监管的一个里程碑事件。

全新的开始

FTX如过山车一般的故事正是Web 3.0试图要避免的:信任本不应该轻信的机构、缺乏透明度、公然欺诈……

而2022年对投身于Web 3.0市场的人来说,或许是比较煎熬的一年。除了FTX的崩塌以及其造成的连锁反应使行业中的一些大企业倒闭之外,整个Web 3.0市场的行情和整体价格都相对低迷。

但2023年或许是一个新的机会。让我们回到初心,专注于真正重要的事情:建立安全、透明、开源的应用程序,将权力交还给用户。Web 3.0也需要从写进区块链永久历史的教训中学习,通过安全协议设计、部署前代码审计和部署后监控来提高整个行业的安全水准。

无论何时,安全对于用户、开发者和整个行业的未来都是至关重要的。

“广东财经网”的新闻页面文章、图片、音频、视频等稿件均为自媒体人、第三方机构发布或转载。如稿件涉及版权等问题,请与

我们联系删除或处理,客服邮箱1098101642@qq.com,稿件内容仅为传递更多信息之目的,不代表本网观点,亦不代表本网站赞同

其观点或证实其内容的真实性。

  • 声音提醒
  • 60秒后自动更新
  • 【民政部回应何时恢复婚姻登记】民政部社会事务司二级巡视员杨宗涛表示,婚姻登记场所是人群聚集场所,部分地区暂停婚姻登记工作是对人民群众安全负责。未停止登记的地方推广用电话、网络、qq群预约登记,控制登记人数,分批分段登记,减少人员聚集和在登记机关停留时间。已停止婚姻登记地方将根据当地疫情控制情况逐渐恢复。

    15:54
  • 欧洲央行副行长金多斯:欧洲央行还没有达到逆转利率。宽松政策的副作用更明显了。

    15:54
  • 财经网站Forexlive分析师Justin Low评瑞士1月CPI月率:尽管通胀年率保持稳定,但核心通胀率有所下降,这一点令人更加担忧。这只是进一步巩固了瑞士央行维持现有货币政策不变,并可能在未来寻求更多宽松措施的观点。

    15:54
  • 【武汉两大批发市场商户开业率超过80%】商务部市场建设司司长朱小良10日称,目前武汉生活必需品供应基本正常,除冷鲜肉、鲜叶菜等少数品种存在结构性短缺外,大部分重要生活物资供应充足,未发生明显抢购或脱销断档情况。当地白沙洲和四季美两大批发市场正常营业,商户开业率超过80%,日交易量上升至3000吨以上。(国是直通车)

    15:53
  • 【日本2019年经常项目顺差增长4.4%】日本财务省10日发布的国际收支初步统计报告显示,主要受外国人入境游消费扩大影响,2019年日本经常项目顺差增长4.4%。报告显示,2019年日本经常项目顺差为20.06万亿日元(1美元约合109.8日元)。其中,商品贸易方面,由于液化天然气价格下跌等因素,进口下降5.6%至75.56万亿日元;由于汽车部件及钢铁等产品出口减少,出口下降6.3%至76.12万亿日元。货物贸易顺差减少53.8%,为5536亿日元。(新华社)

    15:53
  • 欧元兑美元EUR/USD短线波动不大,现报1.0952。

    15:53
  • 瑞士1月CPI年率:0.2%,前值:0.2%,预期:0.1%;瑞士1月CPI月率:-0.2%,前值:0%,预期:-0.2%。

    15:52
  • 英镑兑美元GBP/USD短线走低13点,现报1.2890。

    15:52
  • 【宁德时代“供电”国产特斯拉 有望拉低售价20%】全国乘联会秘书长崔东树分析认为,“随着特斯拉国产化率提升和产能爬坡,未来特斯拉国产车型的价格下探空间还是很大的。”他预计今年下半年,国产Model 3车型的售价就有望降至25万元,降幅接近20%。(新京报)

    15:51
  • 【内蒙古:对不裁员或少裁员企业返还上年度50%失业保险费】据内蒙古新型冠状病毒肺炎疫情防控工作指挥部消息,疫情期间,内蒙古对不裁员或少裁员的企业返还上年度实际缴纳失业保险费的50%,对面临暂时性经营困难的中小企业,返还标准提高到上年度6个月企业及其职工缴纳社会保险费的50%。

    15:51
  • 【商务部:2019年服务进出口总额54152.9亿元 同比增长2.8%】商务部新闻发言人表示,2019年,在服务贸易创新发展试点等政策的激励下,我国服务贸易总体保持平稳向上态势,逆差明显下降,结构显著优化,高质量发展成效初步显现。全年服务进出口总额54152.9亿元(人民币,下同),同比增长2.8%。其中,出口总额19564.0亿元,同比增长8.9%;进口总额34588.9亿元,同比减少0.4%。(第一财经)

    15:51
  • 【振华股份:疫情导致下游客户开工推迟 产品库存上升】振华化学公告,公司目前生产经营稳定,所有产能均正常开工,原材料采购能基本满足生产需要,由于疫情导致下游客户开工推迟,公司出货量减少,产品库存有所上升。公司将根据客户需求、疫情及市场变化,适度调整生产经营策略,尽可能保持生产经营的稳定。

    15:50
  • 环旭电子2月10日晚间公告,公司2020年1月合并营业收入为23.27亿元,较去年同期的合并营业收入减少27.83%,较2019年12月合并营业收入环比减少37.23%。

    15:49
  • 精测电子:与京东方集团签订了多份销售合同,合同累计金额达到6.96亿元。

    17:12
  • 华夏银行:银保监会同意本公司在全国银行间债券市场发行不超过100亿元人民币的金融债券,募集资金全部用于绿色信贷。

    17:03