波及上万用户，损失数百万美元！究竟谁是 Solana 生态被盗案的罪魁祸首？

8 月 3 日，成都链安鹰眼 - 区块链安全态势感知平台舆情监测显示，Solana 发生大规模盗币事件，截止发稿前，有近 1 万多个 Solana 钱包地址遭受攻击，被盗取的 SOL、SPL、USDC、USDT、BTC、ETH 等，价值约 600 万美元。在昨天的预警里，我们第一时间建议 Solana 钱包用户尽快转移加密资产至 CEX 或者硬件钱包。

被盗钱包数量（数据来源 solscan.io）

可以知道的是 Solana 正在经历一场大规模的安全事件，事件的来龙去脉究竟怎么回事，我们今天来一探究竟。

ONE 

8 月 3 日，首先是 Solana 生态 NFT 市场 MagicEden 官方发推称，疑似存在一个 SOL 漏洞可以窃取 Phantom 钱包内资产。

接着，独立安全研究员 CIA Officer，黑客现在正在以一种未知的方式从普通用户的钱包中提取 $SOL ，目前被盗资金的数额超过 500 万美元。

知名开发者 @0xfoobar 则发推称，除 Phantom 外，Slope 钱包用户也已报告了被盗情况。

紧接着，越来越多用户的钱包遭受入侵，大家才发现事态已经变得严重！

针对整起事件，Solana 官方当前给出的回应是：“来自多个生态系统的工程师正在几家安全公司的帮助下调查本次大规模钱包被盗事件，目前没有证据表明硬件钱包会受到影响，调查获得进展将尽快公布后续信息。”

成都链安技术团队第一时间进行了跟踪分析，现将本次攻击的分析进展分享如下。

TWO 

昨天我们已公布被盗资金已进入这几个钱包地址，每个地址金额如下：

·Htp9MGP8Tig923ZFY7Qf2zzbMUmYneFRAhSp7vSg4wxV

·CEzN7mqP9xoxn2HdyW6fjEJ73t7qaX9Rp2zyS6hb3iEu

·5WwBYgQG6BdErM2nNNyUmQXfcUnB68b6kesxBywh1J3n

·GeEccGJ9BEzVbVor1njkBCCiqXJbXVeDHaXDCrBDbmuy

目前分析进展如下：

第一点：

根据用户反馈，目前受影响的钱包主要是 Phantom 钱包、Slope 钱包。

成都链安安全团队分析发现 Slope 钱包使用的 Sentry 服务，通过抓包发现此服务会在用户创建钱包时，将助记词和私钥等敏感数据发送到 Slope 的服务器 o7e.slope.finance 上，造成助记词或私钥泄露。

目前 slope 官方已发文正在努力解决该问题。

而对 Phantom 钱包进行分析，逆向代码发现其中也包含 sentry 库，但是通过抓包分析，暂时未发现在用户创建钱包时，有发送助记词和私钥等敏感数据到服务器的行为。

此外，根据舆情显示，NEAR 的钱包中也曾在 6 月被发现类似 Slope 钱包的问题。当 Near 钱包用户选择“电子邮件”作为助记词恢复方法时，助记词被泄露到第三方站点。

第二点：

根据舆情显示，此前 Ava Labs 的工程主管 patrickogrady 在推特上写道：“我想知道 Solana 项目正在使用的某些 ed25519 签名库中是否存在 nonce 重用漏洞。我认为这将允许任何查看 Solana 的攻击者获得私钥，而不管私钥是在哪里生成的。”针对这种猜测，目前成都链安安全团队正在继续跟踪研究。

目前，成都链安安全团队正与受害者和钱包团队积极合作，对事件持续进行跟踪和研究分析。

THREE 

对于用户：

用户平时可以将钱包根据用途分为两类，第一类用于存储资产，包括一些大额资产等，该类资产可以使用冷钱包存储提高安全性；

第二类用于资产交易，可以使用一些临时钱包。临时性的钱包包括：使用 MetaMask 之类的钱包重新创建一个地址里面存储很少的钱；或一些网络钱包如：Burner Wallet 等，该钱包可以通过在网页上简单地设置转账的参数，如：转账地址、金额等，就可以生成一个临时性的小额交易二维码。

同时，用户在交易时使用的 PC、浏览器等，可以在进行一些可能存在的危险交易时使用不同的 PC，或者使用不同的浏览器。

对于项目方：

钱包项目方也要注意不要上传用户的私钥和助记词到服务器，项目方在产品上线前最好找专业的第三方安全公司进行专业的安全审计。

FOUR 

本次被盗事件发生之后，成都链安第一时间发布预警，建议 Solana 钱包用户尽快转移加密资产至 CEX 或者硬件钱包，避免扩大损失。同时，成都链安安全团队正在使用链必追 - 虚拟货币案件智能研判平台对被盗资金地址进行监控和追踪分析。

作为一家致力于区块链安全生态建设的全球领先区块链安全公司，也是最早将形式化验证技术应用到区块链安全的公司，成都链安目前已与国内外头部区块链企业建立了深度合作；为全球 2000 多份智能合约、100 多个区块链平台和落地应用系统提供了安全审计与防御部署服务。自主研发的“链必安”一站式区块链安全服务平台可为执法监管机构、金融机构、区块链企业等提供安全审计、安全防护、安全监管、安全预警、安全咨询等全生命周期安全保障解决方案。欢迎点击公众号留言框，与我们联系。