Aegixe区块链安全周报 11.24-11.30

摘要

1、本周共发生了2起区块链安全事件，损失总额超过3,500万美元。
2、主要涉及私钥泄露、合约漏洞攻击方法。
3、主要安全事件包括Upbit交易所黑客攻击和Yearn Finance yETH漏洞攻击。
4、以安全事件各链分布来看，包含Solana、ETH。

主要安全事件

Upbit (韩国最大交易所)黑客攻击（本周损失最重，超3000w+美元）

项目概览：

韩国交易量最大的加密货币交易所，由Dunamu公司运营，事发时正与互联网巨头Naver进行合并

事件概览 ：

11月27日凌晨，Upbit监测到Solana网络上的资产异常流出。事后审计发现其内部钱包系统存在一个可能暴露私钥的严重漏洞。韩国当局怀疑

朝鲜黑客组织Lazarus是幕后黑手。

事件动态：

• 资金部分冻结，已冻结约150万美元的被盗资产，并与安全团队及执法部门合作追踪其余资金。

• Upbit明确表示将用公司资金全额补偿用户损失，确保用户资产不受损。

• 事件发生后立即暂停了所有Solana网络的充值和提现服务，并进行了全面的钱包系统审查。

Aegixe建议

对项目方

• 彻底审查并加固钱包系统，尤其是密钥生成与管理流程。

• 加强针对

  高级持续性威胁（APT）

  和内部风险的防御体系。

• 在重大公司行动（如合并）期间，需提升安全警戒级别。

对用户

• 在中心化交易所存放大量资产时，了解其保险储备金和历史安全记录。

• 关注交易所官方公告，在安全事件后遵循其指引。

Yearn Finance yETH漏洞攻击

项目概览 ：

知名DeFi收益聚合协议，yETH是其推出的流动性质押代币指数产品。

事件概览 ：

攻击者部署漏洞合约，单笔交易内铸造大量yETH并清空相关流动性池，获利后通过混币器转移资金

事件动态 ：

• 资金尚未追回。资金已转入混币器，追回难度大

• Yearn官方已确认事件并展开调查，补偿方案尚未公布

• 受影响池子功能受损。yETH相关池被耗尽，但Yearn核心业务运行未受影响

Aegixe建议

对项目方

对创新型金融产品进行更严格、多维度的安全审计，完善漏洞监控与应急响应机制。

对用户

参与新兴DeFi产品时需充分认知其智能合约风险，分散资产配置。

安全动态总结与建议

两起事件揭示了当前区块链安全生态的几个关键特点和趋势：

攻击模式分化，折射“CeFi”与“DeFi”固有风险

中心化机构（CeFi） 如Upbit，其安全命门在于中心化托管的内部系统。此次攻击被认为是其内部钱包系统的关键漏洞所致。其背后甚至可能涉及朝鲜黑客组织Lazarus，凸显了地缘政治风险。

去中心化协议（DeFi） 如Yearn，风险则根植于 “代码即法律”的智能合约。攻击者利用了yETH合约中一个未经严格审计的逻辑漏洞。

危机处理方式体现本质差异

Upbit：作为持牌中心化实体，能够快速决策并承诺全额赔付，以公司信用和储备金作为后盾，迅速稳定用户信心。

Yearn：作为去中心化协议，其优势在于风险隔离（仅局部池子受影响）和响应透明。但赔付通常需要复杂的社区治理流程，具有不确定性。

对行业与用户的启示

给项目方：CeFi必须持续加固内部系统，警惕国家级APT攻击；DeFi则需对创新型复杂产品进行更严格、多维度的安全审计。

给普通用户：在CEX存资产时，应关注其安全历史、保险储备和赔付承诺。参与DeFi时，则必须清醒认识智能合约的固有风险，切勿将所有资金集中于单一协议，并理解“收益自享，风险自担”的原则。

总而言之，这两起事件再次证明，区块链世界没有绝对的安全。无论是中心化托管还是去中心化代码，都面临持续且专业化的攻击。对于整个生态而言，建立动态、纵深的防御体系和提升所有参与方的风险意识，是永恒的主题。

参考资料 ：

upbit官方公告 ：https://upbit.com/service_center/notice?id=5800&view=share

Yearn官方公告 ：https://x.com/yearnfi/status/1995344733154250993

文章来源 ：https://mp.weixin.qq.com/s/F2cGwMR71tUCk0aUpEvSYw