来操纵计算或在合约中获得优势 。 ➢ 预言机/价格操纵 描述：价格操纵是指攻击者通过操纵市场价格来获取不正当收益。在TON生态系统中，攻击者可能会通过操纵DEX（去中心化交易所）上的交易量或订单簿，影响特定代币的价格，从中获利或引发市场恐慌。攻击者还可能通过干预预言机所报告的数字资产价格等外部信息，导致智能合约做出错误决策。 ➢ 弱访问控制 描述：弱访问控制指系统未能有效限制用户对资源或操作的访问权限，导致未经授权的用户能够执行敏感操作。在TON生态系统中，这可能包括未授权的用户能够访问管理接口、更改智能合约设置或窃取用户资产。 ➢ 拒绝服务攻击 描述：拒绝服务（DoS）攻击是指消耗智能合约的计算资源或触发错误条件，导致合约无法正常执行或陷入无休止的操作。这可能会阻止合法用户与合约交互，甚至阻止合约状态更新。在TON生态系统中，攻击者可能利用DoS漏洞恶意锁定所有资产，这将直接导致项目方和用户的资金损失。这不仅会影响项目的正常运营，还会损害用户的信任。 ➢ 钓鱼攻击 描述：钓鱼攻击是一种社会工程学攻击，攻击者通过伪装成可信赖的实体，诱骗用户提供敏感信息如用户名、密码或私钥。在TON生态系统中，钓鱼攻击者可能会伪装成官方渠道或合作伙伴，发送欺诈性邮件或消息，诱骗用户点击恶意链接或提供个人信息。 这些攻击类型不仅揭示了TON生态系统在安全性方面的挑战，也强调了加强安全措施和提高用户警惕性的重要性。 其中受影响的项目类型包括Lanuchpad、Staking、Dex、Lending、Gaming，这些事件不仅暴露了各个项目的脆弱性，也为整个生态系统的安全性提出了严峻的挑战。以下是具体的安全事件、漏洞盘点。 4.2.2 安全漏洞盘点 1. 某协议的质押合约遭受攻击，导致大量代币损失 时间： 2024年5月22日 损失金额： / 根本原因： 参数配置错误 描述： 在庆祝TON生态系统繁荣的质押活动后，由于协议参数配置错误，某协议的质押合约遭受了黑客攻击，导致合约中大量代币被盗。事件发生后，项目方立即暂停了质押奖励领取功能，并分配了大量$USDT用于回购丢失的307,264个代币。 攻击发生后，这个项目方迅速联系了TonBit进行审计。TonBit展示了其专业性，迅速反应并调集安全专家团队，对项目的核心代码进行了全面而细致的安全审计。TonBit的安全专家们发现了6个低危问题，并立即与项目方团队进行了详细的沟通。凭借丰富的经验和专业的技术能力，TonBit不仅提供了问题的具体解决方案，还协助该团队迅速完成了所有问题的修复工作，确保了合约的安全性和稳定性。 TonBit审计发现的和配置相关的issue： 解决方案：修改参数配置 2.黑客利用钱包展示可控的comment信息误导用户 时间： 2024年5月10日 损失金额： 22,000 TON 根本原因： 钱包进行交易时展示的comment信息可能误导用户 描述： 在TON中处理transfers消息时，虽然可以添加注释（comment），但部分钱包在展示这些注释时的界面UI设计存在潜在误导风险。这种设计缺陷被黑客利用，通过操控transfers消息的注释内容，黑客能够在交易过程中向用户展示虚假信息，从而实施欺诈行为，导致用户误操作，造成资金损失。 解决方案： 为了解决这一问题，钱包应用在展示这些信息时需要添加醒目的注释，提醒用户这些内容并不可信。此外，钱包开发团队应改进UI设计，确保交易信息展示的透明度和可靠性。同时，用户也需要提高辨别能力，警惕可疑交易信息。 进一步措施： TonBit建议钱包开发团队在展示交易注释信息时引入多层验证机制，例如对注释信息进行源验证，确保信息的可靠性。此外，定期进行用户教育，发布安全提示，帮助用户识别和防范潜在的欺诈行为。通过技术手段和用户教育相结合，可以有效减少此类安全事件的发生。 3.BookPad使用带有后门的合约骗取资金后携款跑路 时间： 2024年4月15日 损失金额： 74,424 TON 根本原因： BookPad使用后门合约吸取用户资金后跑路 描述： BookPad发布了一份存在后门的且不开源的智能合约，开始进行预售活动。在收到了足够的资金后，他们利用合约中的后门取出资金，然后迅速携款跑路。 解决方案： 为防止类似事件再次发生，用户在参与任何项目的投资活动前，应尽可能多地搜集项目方的信息，选择那些开源且经过严格安全审计的项目。 TonBit建议用户特别关注以下几点： 1.项目开源性： 确认智能合约代码是开源的，这样可以让独立的安全专家对其进行审查，确保没有隐藏的漏洞或恶意代码。 2.安全审计： 选择经过知名安全审计机构审核的项目。安全审计能发现并修复合约中的潜在漏洞，提供额外的保障。 3.项目背景调查： 调查项目方的背景、团队成员的信誉和历史记录。透明度高、信誉好的项目方更值得信赖。 4.社区反馈： 关注社区对项目的反馈，参与讨论，了解项目的声誉和潜在风险。 进一步措施： TonBit建议在TON生态系统中引入更加严格的监管和审核机制，对新项目进行资质审核，确保其符合安全标准。此外，可以设立一个公共的合约代码库，只有通过审核的合约才能被使用。这将大大降低用户资金被盗的风险，提升整个TON生态系统的安全性和可信度。 4.黑客伪造钓鱼链接骗取资金 时间： 2024年4月26日 损失金额： / 根本原因： 黑客钓鱼攻击 描述： 黑客伪造了一个NFT项目，并利用该项目伪造了一个泰达币（USDT）的官方网站。当用户进入这个伪造的泰达币官网后，会被诱导填写敏感信息，并将所有USDT转移到黑客的账户。通过这种方式，黑客成功欺骗了许多用户，使他们的资金受到威胁。 解决方案： 为避免类似钓鱼攻击，用户在访问陌生网站时应采取以下措施来验证域名的真实性： 1. 检查域名： 确认域名的拼写和字符的准确性，注意相似但不同的字符，特别是那些恶意使用的假冒域名。 2. 官方渠道获取链接： 始终从官方渠道（如官方社交媒体、应用程序、公告等）获取正确的域名链接，避免通过不可靠的消息来源访问网站。 3. 检查安全证书： 确认网站的SSL/TLS证书是有效的，浏览器地址栏应显示安全锁标志。点击安全锁标志查看详细信息，确保证书由可信的认证机构颁发并与该域名匹配。 4. 工具辅助： 使用浏览器的反钓鱼和安全插件来识别和阻止虚假网站。利用在线工具和服务检测网站的安全性和信誉，例如通过VirusTotal或PhishTank等服务来验证网站的合法性。 5. 教育和意识： 提高用户的安全意识，定期进行网络安全教育，了解最新的钓鱼手段和防范措施。特别是对于新兴的NFT项目和加密货币交易平台，用户应保持警惕，避免轻信未经证实的信息。 进一步措施： TonBit建议在TON生态系统中引入更多的安全教育和防范措施，例如通过官方渠道发布安全提示和指南，帮助用户识别和避免钓鱼攻击。同时，加强对新项目和网站的审查力度，确保其合法性和安全性，为用户提供更加安全的使用环境。 5.黑客冒充项目方在Telegram上大肆行骗 时间： 2024年2月4日 损失金额： / 根本原因： 黑客冒充Ton_fish项目方，在Telegram发布虚假空投信息骗取资金。 描述： 黑客冒充Ton_fish项目团队，在Telegram群组内发布虚假的空投信息，以诱骗用户参与。他们利用社会工程学手段和高度仿真的账号，设法博得用户的信任。黑客会模仿官方账号的名称、头像和发布风格，使用户误以为这些信息是真实的。受害者一旦与之互动，便有可能被引导至钓鱼网站或被要求直接转账至黑客控制的账户，最终导致资金损失。 解决方案： 为防止类似欺诈行为，用户在使用Telegram等社交平台时应采取以下措施来提升鉴别能力和保护资金安全： 1. 多方渠道验证信息： 在参与任何空投或其他活动前，用户应通过多个官方渠道（如官方网站、官方社交媒体账号、公告等）验证信息的真实性，避免仅依赖单一信息来源。 2. 检查账号真实性： 用户应仔细检查发布信息账号的真实性，关注账号的创建时间、发布内容和互动情况。官方账号通常有较长的创建历史和大量的粉丝关注，而假冒账号可能存在创建时间短、互动少等特征。 3. 避免点击陌生链接： 对于陌生或可疑的链接，用户应保持警惕，避免点击。可以使用安全浏览器插件或在线工具来检测链接的安全性。 4. 直接与官方确认： 在遇到任何可疑信息时，用户应直接通过官方提供的联系方式与项目方确认，避免通过不可靠的第三方渠道进行验证。 5. 提高安全意识： 用户应定期进行网络安全教育，了解最新的诈骗手段和防范措施。特别是在参与加密货币和区块链相关活动时，保持高度警惕，避免轻信未经证实的信息。 6. 使用双重认证： 为进一步保障账号安全，用户应启用Telegram等社交平台提供的双重认证功能，以增加账号的安全防护层。 4.3 TON生态项目方如何做安全审计 随着TON生态系统中的项目数量日益增加。然而，伴随而来的安全问题也越来越多。为了确保项目的安全性，进行全面的安全审计至关重要。 安全审计的一般步骤包括： 1. 项目初期评估 了解项目背景和需求，确认审计范围和版本，熟悉协议架构，并制定详细的审计策略。 2. 自动化检测 使用静态和动态分析工具对项目代码进行全面检测，发现可能破坏合约功能或安全性的问题。 3. 人工审计 安全专家团队将对每一行代码进行细致检查，识别潜在的错误和漏洞，并和项目方保持紧密沟通，并定期反馈问题。 4. 初审报告 审计人员起草一份初审报告，总结代码缺陷和其他问题，反馈给项目方。项目方确认审计问题，对有效问题进行修改，并通知审计人员进行复审。 5. 终审报告 提交详细的审计报告，包含发现的问题和修复建议。与项目团队沟通，确保所有问题都能得到有效解决。 6. 持续监控与支持 提供链上的持续安全监控，及时发现并应对新出现的安全问题。定期进行安全审查，保持项目的长期安全性。 TonBit 拥有一支由区块链安全专家和资深开发者组成的团队，具备深厚的技术背景和丰富的实战经验。团队成员在区块链安全领域有多年的从业经历，能够精准识别并解决潜在的安全隐患。以下是TonBit 在TON生态的审计流程。 5 用户如何在 TON 和 Telegram 上保持安全 随着TON和Telegram生态系统的迅速发展，如今已有超过3800万个活跃账户，随之而来的关注度也带来了更大的风险。 骗子和恶意行为者瞄准了涌入的新手用户，即使在最安全的生态系统中，保持警惕了解潜在风险仍然至关重要。这些最常见的诈骗手段你需要多加注意。 5.1常见的诈骗手段 1. 急需帮助的朋友：骗子冒充朋友或家人，紧急请求资金。请务必核实其身份。 2. 钓鱼网站：假冒网站模仿真实网站，窃取登录信息。核对网址，避免点击来历不明的链接。 3. 投资骗局：这些骗局在加密货币领域非常常见，承诺高回报但没有证明。深入研究；如果听起来好得不真实，可能就是骗局。 4. 假调查：提供参与调查的奖励以窃取个人信息。避免向未知调查者提供详细信息。 5. 假工作机会：吸引人的招聘广告要求提供个人信息、下载应用或支付费用。通过官方渠道核实。 6. 分类广告骗局：假冒的广告引导您到虚假的Telegram机器人以窃取信息。 7. 拉高出货：团体操纵加密货币价格以牟利，导致其他人亏损。始终研究并核实投资建议。 8. 浪漫骗局：网络关系中，骗子要求钱财或个人信息。对在线认识的人要求钱财保持警惕。 5.2警惕Toncoin金字塔骗局 Telegram对TON区块链的支持不幸吸引了一些骗子，他们试图利用毫无戒心的用户。以下是该骗局的详细分析： 1. 设局：骗子发送链接到“独家赚钱计划”，看似来自朋友或联系人。他们引导用户加入一个非官方的Telegram机器人，谎称是用于存储加密货币。 2. 投资：用户被指示通过合法渠道（如钱包、P2P市场或加密货币交易所）购买Toncoin。这增加了虚假的可信度。一旦购买，用户必须将其Toncoin转移到诈骗机器人。 3. 加速器：受害者被迫通过一个单独的机器人购买“加速器”，费用在5到500 Toncoin之间。在此阶段，用户失去了他们的加密货币。 4. 招募：骗子推广推荐计划，要求用户创建私人Telegram群组并邀请朋友。他们承诺每推荐一个人可获得25 TON的固定支付及基于推荐人购买的加速器的佣金。 实际上，这就是典型的金字塔骗局。骗子赚钱，而其他人失去投资。 5.3如何避免网络诈骗 为了保护自己免受网络诈骗并确保Telegram账户的安全，请遵循以下基本步骤： 1. 启用Telegram的两步验证：进入“设置 > 隐私和安全 > 两步验证”，为您的账户增加额外的安全保障。 2. 验证联系人：对未经请求的消息保持警惕，尤其是要求提供个人信息或资金的消息。通过其他方式确认发件人的身份。 3. 定期检查Telegram账户活动：进入“设置 > 设备 > 活跃会话”，检查账户是否有未知设备或会话。 4. 报告可疑活动：如果遇到诈骗行为，请向Telegram举报。 5. 避免快速致富计划：对这些计划保持警惕，即使是朋友或家人推荐的，他们可能也是受害者。 6. 不要将加密货币转移到未知钱包：在转移加密货币之前，始终验证接收者的身份，以避免被骗。 在TON和Telegram中保持安全需要警惕和意识。通过识别常见的诈骗手段并遵循这些安全提示，您可以保护您的资产和个人信息。始终核实来源，对好得不真实的优惠保持怀疑，并仅通过官方渠道进行交易。保持信息灵通和谨慎，您便能安心享受TON和Telegram带来的好处，而不会成为欺诈的受害者！ 6.TON生态发展总结 选择TON的理由在于认识到Telegram本身的生态系统。在TON上部署你的Web3项目可以利用Telegram庞大的用户群，月活跃用户超过7亿。这种集成为去中心化应用的繁荣提供了肥沃的环境，类似于Apple的应用商店和Steam支持开发者的方式。 为了更好地理解其重要性，可以考虑以下类比：共生关系在自然界中是基础，无论是小丑鱼和海葵之间的互利关系，还是病毒的寄生关系。这些关系在塑造地球生物多样性方面至关重要，是进化的关键驱动因素。通过网络和合作，共生关系中的物种能够增强其生存能力，超越单独行动所能达到的程度。这同样适用于科技和Web3，特别是为了繁荣，Web3生态系统必须在不同参与者之间实现共生关系。 这些技术中的共生关系促进了合作，带来了协同效应，最终使所有参与者受益，推动了Web3领域的进步和改进。 总体而言，开发者可以在不妥协激励或价值的情况下，受益于主要社交网络（如Telegram）的用户群，为其去中心化应用构建一个强大的未来。这种集成提供了一个理想的环境，使去中心化世界得以繁荣，强调了为什么TON是开发者寻求在开放网络上部署项目的战略选择。 7.关于TonBit TonBit是Web3区块链安全审计公司BitsLab旗下的子品牌，专注于TON生态系统的安全审计与分析。作为一支专业且经验丰富的团队，TonBit致力于确保TON生态系统的安全性和可靠性，为开发者和用户提供高水平的保障。 1. TON生态早期参与者： 从2021年开始，TonBit成员就专注于TON生态系统，发起了 TONX、TONX API、Tonkey、TonResearch 等项目。TonX Studio、TonFura、TonKey、Ton Research 等项目。 2. 全面审计：TonBit提供全方位的安全审计服务，包括智能合约审计、协议安全评估和代码漏洞检测等。通过全面的审计，确保项目在各个环节的安全性，防范可能的攻击和风险。 TonBit优势包括 1. 高效审计流程：TonBit采用先进的审计工具，能够快速、高效地完成安全审计任务。在保证审计质量的同时，大幅缩短审计时间，为项目节省宝贵的开发周期。 2. 定制化解决方案：TonBit根据每个项目的具体需求，提供定制化的安全解决方案。从初期的设计评估到上线后的安全监控，TonBit为项目的整个生命周期保驾护航。 3. 业界最高的安全审计标准：为提高智能合约安全审计标准，并全方位保障审计项目代码的安全性和可靠性，BitsLab 旗下 3 个子品牌（MoveBit、ScaleBit、TonBit）将推出专门为智能合约安全审计启动的活动「Secure+」。凡参与此活动的审计项目，在完成审计（出具最终审计报告）后一个月内，若在代码未改动的前提下，由其他审计机构或自行审计发现重大问题（Major 级别及以上），TonBit 承诺将退还 30-50% 的审计费用。 TonBit通过以下几方面护航TON全生态的安全 1. 预防性审计：在项目上线前，TonBit通过全面的安全审计，提前发现并修复潜在的安全漏洞，确保项目上线后的安全性。 2. 实时监控：TonBit提供7x24小时的安全监控服务，实时监控项目的运行状态，及时发现并应对安全威胁，保障项目的平稳运行。 3. 安全响应：在发现安全问题后，TonBit迅速响应，提供应急处理方案，帮助项目方迅速解决问题，降低安全事件带来的影响。 4. 社区协作：TonBit积极参与TON社区的安全建设，与社区成员共享安全知识和最佳实践，共同提升整个生态系统的安全水平。 TonBit致力于为TON生态系统提供全面的安全保障，助力项目实现更高的安全标准和用户信任度。作为TON生态的安全守护者，TonBit将继续努力，为区块链技术的发展贡献自己的力量。 免责声明： 本报告仅为信息提供之用，不构成任何形式的投资建议、推荐或担保。读者在做出投资决策前应自行进行独立调查和分析。 数据准确性： 本报告中的数据已尽可能准确和最新，但由于市场的快速变化，某些数据可能在报告发布后发生变化。 报告局限性： 由于信息获取的限制，本报告可能无法涵盖所有安全事件和市场变化。读者应结合其他来源进行综合判断。 版权声明： 本报告的内容受版权保护，未经许可不得复制、转载或用于商业目的。 安全提示： 用户应提高自身安全意识，定期更新安全软件和防范措施，避免成为网络攻击和诈骗的受害者。 参考文献： 除了TON官方基金会的数据外，本报告还参考了多个来源。 https://blog.ton.org/ https://x.com/DegenonTON/status/1783738318850789494 https://x.com/DegenonTON/status/1779729268953813381 https://x.com/realScamSniffer/status/1788749945459318868 来源：金色财经lg...
北美站
