EraLend · 10
每月动态 | Web3 安全事件总损失约 16.81 亿美元

每月动态 | Web3 安全事件总损失约 16.81 亿美元

概览2025 年 2 月，Web3 安全事件总损失约 16.81 亿美元。其中，据慢雾区块链被黑档案库(https://hacked.slowmist.io) 统计，共发生 15 起被黑事件，导致损失约 16.76 亿美元，有 5,245 万美元得到冻结或返还，事件原因涉及合约漏洞、社会工程、账号被黑和私钥泄露等。此外，据 Web3 反诈骗平台 Scam Sniffer 统计，本月有 7,442 名钓鱼事件受害者，损失规模达 532 万美元。(https://dune.com/scam-sniffer/february-2025-scam-sniffer-scam-report)安全大事件Bybit2025 年 2 月 21 日，据链上侦探 ZachXBT 披露，Bybit 平台发生大规模资金流出的情况。据统计，此次事件导致近 15 亿美元的损失。事件发生后，慢雾安全团队立即发布安全提醒，追踪被盗资产，分析攻击手法。随后，还探讨如何通过 Safe 的额外安全措施机制来强化多签钱包的防护能力。2 月 26 日晚间， Bybit 与 Safe 同时发布关于 Bybit 价值近 15 亿美金的加密货币被盗事件的安全调查公告。Safe 方面表示，Lazarus Group 对 Bybit 发起的针对性攻击的取证分析表明，攻击者通过入侵 Safe{Wallet} 开发人员机器，从而提交了一笔伪装的恶意交易提案，并诱导 Bybit 的 Safe 钱包 Owner 签署恶意交易，实现对 Bybit Safe 钱包的攻击。下图为慢雾安全团队整理的整体攻击流程图：根据目前已公开的信息，Bybit 被盗事件的资金追踪与冻结工作仍在持续进行。截至 3 月 3 日，在多方协调努力下，Bybit 已成功冻结约 4,365 万美元的被盗资金。(https://x.com/Bybit_Official/status/1893687749229563958)LIBRA2025 年 2 月 15 日，阿根廷总统哈维尔·米莱(Javier Milei) 在社交媒体上推广名为 LIBRA 的加密货币，声称此举将有助于促进阿根廷经济的复兴，并公布了相关合约地址。消息发布后，众多 Memecoin 爱好者争先恐后参与项目，LIBRA 的价格迅速飙升，市值一度接近 50 亿美元。然而，仅在代币上线数小时后，项目方便撤出流动性，导致市值迅速暴跌，具体分析见风险提醒｜从 LIBRA 看“政治化”的加密货币骗局。Infini2025 年 2 月 24 日，稳定币新型银行 Infini 遭攻击，攻击者获取了一个拥有管理员权限的钱包，盗走近 5,000 万美元的资金。Infini 创始人 Christian 发推表示个人私钥没有泄漏，是之前转交权限的时候有疏忽。目前流动性没什么问题，能够全额赔付，正在追查资金。据慢雾(SlowMist) AML 旗下的链上追踪和反洗钱工具 MistTrack 分析，被盗资金被兑换成了 ETH，目前停留在地址 0xfcc8ad911976d752890f2140d9f4edd2c64a6e49，我们将持续关注资金动态。zkLend2025 年 2 月 12 日，Starknet 链上的头部借贷平台 zkLend 遭攻击，损失约 960 万美元。据慢雾安全团队分析，本次事件的核心原因在于 zkLend 市场合约采用的 safeMath 库在进行除法计算时采用直接除法，导致在计算提现操作时，实际需要销毁的 zToken 数量存在四舍五入漏洞，...

537天前慢雾科技#慢雾科技
连环作案｜zkLend 被黑深度分析，关联 EraLend 事件

连环作案｜zkLend 被黑深度分析，关联 EraLend 事件

来源：慢雾科技背景根据慢雾安全团队情报，2025 年 2 月 12 日，Starknet 链上的头部借贷平台 zkLend 遭到攻击，损失了价值近千万美元的资产。慢雾安全团队对该事件展开分析并将结果分享如下：(https://x.com/SlowMist_Team/status/1889659563517026772)相关信息攻击者地址：https://starkscan.co/contract/0x04d7191dc8eac499bac710dd368706e3ce76c9945da52535de770d06ce7d3b26存在漏洞的市场合约地址：https://starkscan.co/contract/0x04c0a5193d58f74fbace4b74dcf65481e734ed1714121bdc571da345540efa05攻击交易之一：https://starkscan.co/tx/0x0160a5841b3e99679691294d1f18904c557b28f7d5fe61577e75c8931f34a16f根本原因本次被黑事件的核心原因在于空市场中累加器的值可以通过闪电贷中的独特机制来操控放大，并且市场合约采用的 SafeMath 库在进行除法计算时使用直接相除的形式，导致攻击者可以利用放大后的累加器造成向下舍入漏洞来获利。攻击步骤分析攻击前置准备1. 首先攻击者调用市场合约的 deposit 函数往合约中存入数量为 1 wei 的 wstETH 代币。 我们可以看到 wstETH 代币的市场是处于一个空市场的状态，市场合约中拥有的 wstETH 代币的数量与铸造的 zwstETH 的数量在该笔存款之前均为 0，这让攻击者可以用极低的成本进行下一步中的操纵。此时 wstETH 市场中的 lending_accumulator 的值为 1e27。 交易哈希：https://voyager.online/tx/0x039b6587b9d545cfde7c0f6646085ab0c39cc34e15c665613c30f148b5696872. 接着攻击者调用了市场合约的 flash_loan 函数进行闪电贷操作，借出了 1 wei 的 wstETH，而归还了数量为 1000 wei 的 wstETH。 可以看到，在闪电贷之后，wstETH 市场中的 lending_accumulator 的值为 8.51e29, 与之前的值相比，竟然放大了 851 倍。 交易哈希：https://voyager.online/tx/0x039b6587b9d545cfde7c0f6646085ab0c39cc34e15c665613c30f148b569687c那么是什么原因导致 lending_accumulator 的值能被操控放大这么多呢？让我们跟进到市场合约的 flash_loan 函数中：可以看到在用户归还闪电贷之后，调用了一个名为 settle_extra_reserve_balance 的函数。该函数的作用主要是将合约中多余的资金分配给存款人，而分配的方式是用合约中多余的资金计算出一个新的 lending_accumulator，并更新保存到对应资产代币的市场数据中。计算公式可以简化为如下：(reserve_balance + totaldebt - amount_to_treasury) * 1e27 / zt...

554天前慢雾科技#慢雾科技

慢雾余弦：zkLend 因合约 safeMath 库漏洞遭攻击，攻击者或与 EraLend 黑客事件关联

比推消息，据慢雾创始人余弦监测，Starknet 链上借贷协议 zkLend 于 2 月 12 日遭受黑客攻击，损失超过 950 万美元。受攻击原因在于其市场合约所使用的 safeMath 库在进行除法计算时采用直接除法，导致在计算提现时实际需要销毁的 zToken 数量存在四舍五入漏洞，攻击者正是利用此漏洞获利。链上数据显示，攻击者地址已有 235 天的活跃历史，与币安等多个平台有交互记录。目前黑客已将被盗资金跨链转移，其中大部分转至以太坊网络。余弦表示，通过追踪其 Starknet 关联地址发现该攻击者与 2023 年 7 月 25 日 EraLend 遭黑客攻击事件存在关联。

555天前
解锁 zkSync Era：开创全新的 Layer 2 扩展时代

解锁 zkSync Era：开创全新的 Layer 2 扩展时代

作者: stella@footprint.network数据来源: zkSync Dashboard在解决以太坊扩展性问题方面，Layer 2 解决方案备受关注。这些解决方案旨在通过引入 Rollups, State Channels 或 Nested Blockchains 等技术来克服 Layer 1 的局限性。在 Layer 2 扩展领域，围绕 Optimistic Rollups 与 Zero-knowledge Rollups （ZK-rollups）的优劣一直存在大量争论。在 2022 年的 ETH Seoul 大会上，以太坊的联合创始人 Vitalik Buterin 表达了他对 ZK-rollups 在 Layer 2 扩展竞争中获胜的信心。时至 2023 年，zkSync Era 已成为 ZK-rollups 领域的重要焦点之一。关于zkSync ErazkSync Era 是一种先进的 Layer 2 协议，它利用尖端的零知识密码学来扩展以太坊的安全性和价值。在 zkSync 1.0（现为 zkSync Lite）的成功基础上，zkSync 推出了 zkSync Era 作为其 zkSync 2.0 版本。值得注意的是，zkSync Era 是世界上第一个 zkEVM 区块链，允许为“原生” EVM编写的应用无缝运行在这个基于 ZK 的 Layer 2 网络上。这一开创性的功能，即“EVM 等效”，确保了与现有以太坊基础设施的兼容性，同时充分利用了零知识技术的优势。Matter Labs 是 zkSync Era 背后的团队。Matter Labs 由经验丰富的软件架构师创立，得到了风险投资和 Web3 领域中一些大公司的支持，包括 a16z、Blockchain Capital 和 Union Square Ventures。在本文中，"zkSync" 一词指的是 “zkSync Era”。为什么有如此高热度？2023 年 3 月 24 日, zkSync 登陆主网，向所有用户开放，成为众多 zkEVM 正式上线主网的第一个。根据其官方推特页面的数据，仅在启动的前四天内，zkSync 就记录了超过一百万笔交易。在主网启动后仅 10 天的时间里，zkSync 的总锁定价值（TVL）就超过了 1 亿美元。此后，TVL 出现了大幅增长，并于 7 月 5 日达到了 7.36 亿美元的峰值。来源: zkSync Era Chain TVL此外， 就用户活动而言，zkSync 已确立了自己在 Rollups 中的主导地位。在过去一个月（截至 2023 年 9 月 4 日）里，zkSync 的交易总数达到了 2,858 万笔，令人印象深刻。这一数字是第二名 Rollup 解决方案 Starknet 交易量的两倍以上。来源: Activity-L2Beat为什么 zkSync有如此高热度呢？通过数学和代码实现诚信在 zkSync，他们致力于应用先进的密码学，特别是零知识证明，最终目标是消除公共区块链领域中的所有信任假设。他们的愿景是建立一个仅依赖可验证的元素（数学和代码）来获得信任的基础。这种对无信任解决方案的专注是 ZK-rollup 在近年来获得巨大发展的原因之一。安全性zkSync 通过多维度的方法将安全性放在首位。在为期一年的测试网阶段，zkSync 经历了广泛的测试和审计，没有出现重大问题。它依靠数学和密码学原理来保证 100% 的安全性，并将证明发布到以太坊 ...

1064天前Footprint Analytics#Layer 2 #以太坊

EraLend：将部署经派盾审计的新版本协议，旧协议更名为EraLend Classic

比推消息，此前遭遇黑客攻击的借贷协议Eralend刚刚发文宣布：1. 将部署经派盾（PeckShield）审计的新版本协议，新协议将按原计划进行开发升级，此前受攻击影响的旧版本协议将更名为EraLend Classic；2. 今后，EraLend将继续努力追踪并收回被盗资金，直到完全追回；3. EraLend将聘请慢雾（SlowMist）作为安全顾问，后者将在追赃以及后续产品安全方面为Eralend提供支持；4. Eralend将逐步引入其他还款来源，包括筹款、潜在的zkSync空投和多元化的平台收入等等；5. 新版协议EraLend将取消SyncSwap LP代币作为抵押品，且所有费用收入均将用来赔偿受害者。旧版协议EraLend Classic则将从UTC时间8月8日00:00开始停止所有贷款功能，还款及提款功能将继续开放，直到所有用户退出。

1110天前BTC2025NB#EraLend

上周日DeFi交易量仅为11.2亿美元，创下年内低点

比推消息，根据DefiLlama的数据，周日整个DeFi市场的成交量仅为11.2亿美元，达年内低点。此外，DeFi TVL在7月份从453亿美元降至429亿美元。其中Conic Finance表现最差，该协议在上周的一次重入攻击中损失1700枚ETH。该协议的单个TVL从1.25亿美元下降65%至4200万美元。周二，zkSync生态最大借贷协议EraLend遭到了另一次重入攻击，造成340万美元的损失。本月，其他几个DeFi协议也出现了资金流出，其中，流动性质押协议Ankr、NFT借贷服务BendDAO和基于Arbitrum的DEX Chronos的TVL跌幅高达50%。Curve Finance、Blur和MakerDAO等主流DeFi协议在过去一个月里也都损失了超过15%的TVL。尽管大多数DeFi未能在相对稳定的大市场中获利，但仍有几个协议成为赢家。EigenLayer推出其再质押协议后，获得了新的资金流入，而Lybra Finance和基于Solana的Marinade.finance继续表现出强劲的增长，两者TVL分别增长了73%和45%。

1123天前Wendy#BendDAO #Conic Finance #DeFi #EigenLayer #MakerDAO

SyncSwap：未受EraLend攻击事件影响，建议用户从EraLend撤出流动性

比推消息，zkSync生态DEX SyncSwap发推称，只有在EraLend上的USDC存款受到EraLend攻击事件的影响。所有其他资产（包括在EraLend上提供的SyncSwapUSDC/ETH流动性）都保持安全且未受影响。SyncSwap建议用户如果有在EraLend上提供流动性，最好在问题解决之前撤回，以避免进一步的问题。由于SyncSwap协议并未涉及此次事件，因此无需从SyncSwap协议中撤回。

1124天前BTC2025NB#SyncSwap

EraLend确认遭攻击，正与跨链桥和zkSync合作防止资金流出

比推消息，zkSync生态借贷协议EraLend团队成员在Discord发布公告称，已监测到一起安全事件发生在UTC时间7月25日9:27:21，确认其平台遭受攻击。只有USDC受到此次事件的影响。所有其他资产仍然安全且未受影响，强烈建议用户在此时不要存入USDC。EraLend团队表示，攻击已经得到控制，攻击者已经无法继续行动。受影响的范围目前正在评估中，并将进一步公布。作为预防措施，EraLend已暂停所有的借款操作，以确保资金的安全。目前EraLend正在与跨链桥合作伙伴和zkSync合作，以防止任何进一步的潜在资产外流。与此同时，EraLend正在与网络安全公司紧密合作，以确定这次攻击的来源。

1124天前BTC2025NB#EraLend #zkSync
zkSync Era 生态 TVL 前十大 DeFi 项目一览：SyncSwap 占比逾 40%

zkSync Era 生态 TVL 前十大 DeFi 项目一览：SyncSwap 占比逾 40%

zkSync Era 上线两个多月，TVL 逾 1.6 亿美元，较两个月前翻了一倍。撰文：Peng SUN，Foresight News本文首发于 2023 年 6 月 9 日自 3 月 24 日 zkSync Era 主网上线以来，zkSync Era 主网总锁仓量已逾 1.6 亿美元，较两个月前翻了一倍。目前，除了一些 zkSync 原生协议外，其他生态系统中的 DeFi 协议也开始支持 zkSync Era 主网。同时，由于此前 Arbitrum 空投让用户对 zkSync 空投抱有极大的期待，越来越多的用户参与到 zkSync 生态上来。目前，zkSync Era 上 TVL 排名前十项目分别为 SyncSwap、iZiSwap、Mute.io、Velocore、SpaceFi、EraLend、veSync、ReactorFusion、Maverick Protocol 与 Overnight USD+。其中，有 7 个 DEX 协议，2 个借贷协议与 1 个稳定币协议，而 SyncSwap 独占鳌头，笔者将对其作简要介绍。SyncSwapSyncSwap 是 zkSync Era 上最大的 DEX，于 3 月 25 日上线，时隔两个多月，总锁仓量已达到 6742 万美元，占 zkSync Era TVL 的 41.89%，过去 7 天增幅为 12.52%。SyncSwap 支持交易和添加流动性等，目前资金主要集中在 USDC/ETH 池中，TVL 达 5777 万美元。目前，SyncSwap 还支持 zkSync Era 测试网、Scroll Alpha 测试网、Polygon zkEVM 测试网，用户可以在其网站申领 ETH 测试币。近日，SyncSwap 上线基于 zkSync Era 官方桥的跨链桥 Move，允许在以太坊与 zkSync Era 之间转账，支持 USDC、ETH、USDT、WBTC、LUSD、LSD、MUTE 等多种资产。事实上，Move 可以理解为 zkSync Era 官方桥的第三方前端，与 zkSync 官方桥的 Gas 成本相同，桥接代币是 100% zkSync 原生资产，没有第三方风险。当用户用 Move 批准或转账时，直接与官方 zkSync 智能合约交互。此外，SyncSwap 于 4 月 6 日发推称，将推出代币 SYNC，目前代币尚未创建。iZiSwapiZiSwap 是由一站式流动性即服务 DeFi 协议 iZUMi Finance 在 zkSync Era 上推出的链上订单簿 DEX，于 4 月 16 日上线 zkSync Era 主网。iZiSwap 目前在 zkSync Era 上 TVL 为 2674 万美元，排名第二。iZiSwap 采用 iZUMi 的离散流动性 AMM（DL-AMM），类似于 Uniswap V3 集中流动性，DL-AMM 可以将流动性分配在任意固定价格上，提高资本效率。用户通过将 DL-AMM LP 代币质押到 iZUMi 协议后，可获得对应范围内的激励。目前，iZiSwap 已在 zkSync Era 上启动流动性激励，支持 WETH/RF、WETH/ZKSP、USDC/DEXTF、SAPCE/WETH、LSD/WETH、USDC/BLADE、USDC/OT 七个流动性池。Mute.ioMute.io 是以太坊和 zkSync Era 上基于 zkRollup 的 DEX，包括限价订单、质押平台和债券平台等模块，去年 7 月就已上线 zkSync 2.0 G...

1156天前dy zhang#DeFi #DEX #EraLend #iZiSwap #LaunchPad #Maverick Protocol #Mute.io #NFT #Overnight USD+ #Polygon #ReactorFusion #SpaceFi #SyncSwap #USDC #Velocore #veSync #zkSync Era
没有更多了