LBT:慢霧：BonqDAO 黑客攻擊事件簡析_togetherbnb手游下載最新版

針對今早BonqDAO項目遭黑客攻擊事件，慢霧安全團隊分析：

1.BonqDAO平臺采用的預言機來源是TellorFlex自喂價與Chainlink價格的比值，TellorFlex價格更新的一個主要限制是需要價格報告者先抵押10個TRB才可以進行價格提交更新。而在TellorFlex中可以通過updateStakeAmount函數根據抵押物的價格進行周期性的更新價格報告者所需抵押的TRB數量。

慢霧：Harmony Horizon bridge遭攻擊簡析:據慢霧安全團隊消息，Harmony Horizon bridge 遭到黑客攻擊。經慢霧 MistTrack 分析，攻擊者（0x0d0...D00）獲利超 1 億美元，包括 11 種 ERC20 代幣、13,100 ETH、5,000 BNB 以及 640,000 BUSD，在以太坊鏈攻擊者將大部分代幣轉移到兩個新錢包地址，并將代幣兌換為 ETH，接著將 ETH 均轉回初始地址（0x0d0...D00），目前地址（0x0d0...D00）約 85,837 ETH 暫無轉移，同時，攻擊者在 BNB 鏈暫無資金轉移操作。慢霧 MistTrack 將持續監控被盜資金的轉移。[2022/6/24 1:28:30]

2.由于TellorFlex預言機合約的TRB抵押數額一開始就被設置成10個，且之后沒有通過updateStakeAmount函數進行更新，導致攻擊者只需要抵押10個TRB后就能成為價格報告者并通過調用submitValue函數修改預言機中WALBT代幣的價格

慢霧：ERC721R示例合約存在缺陷，本質上是由于owner權限過大問題:4月12日消息，據@BenWAGMI消息，ERC721R示例合約存在缺陷可導致項目方利用此問題進行RugPull。據慢霧安全團隊初步分析，此缺陷本質上是由于owner權限過大問題，在ERC721R示例合約中owner可以通過setRefund Address函數任意設置接收用戶退回的NFT地址。

當此退回地址持有目標NFT時，其可以通過調用refund函數不斷的進行退款操作從而耗盡用戶在合約中鎖定的購買資金。且示例合約中存在owner Mint函數，owner可在NFT mint未達總供應量的情況下進行mint。因此ERC721R的實現仍是防君子不防小人。慢霧安全團隊建議用戶在參與NFTmint時不管項目方是否使用ERC721R都需做好風險評估。[2022/4/12 14:19:58]

3.攻擊者對價格進行修改后調用了Bonq合約的createTrove函數為攻擊合約創建了trove，該trove合約的功能主要是記錄用戶抵押物狀態、負債狀態、從市場上借款、清算等

動態 | 慢霧：9 月共發生 12 起較典型的安全事件，供應鏈攻擊趨勢愈發明顯:過去的 9 月區塊鏈生態共發生 12 起較典型的安全事件，包括：EOSPlay 遭受新型隨機數攻擊、資金盤項目 FairWin 智能合約權限管理缺陷、EOS 黑名單賬號 craigspys211 利用新晉 BP 黑名單缺陷轉移走 19.999 萬枚 EOS 等典型安全事件。此外，慢霧區塊鏈威脅情報(BTI)系統監測發現，針對區塊鏈生態的供應鏈攻擊越來越多，形如：去年 11 月慢霧披露的污染 NPM 模塊 EventStream、今年 7 月披露的對數字貨幣錢包 Agama 構建鏈的攻擊、今年 8 月披露的針對數字貨幣行情/導航站的 URL 劫持攻擊，還有 9 月慢霧披露的針對交易所使用的第三方統計、客服 js 的惡意代碼植入，進行實施盜幣攻擊。[2019/10/1]

4.緊跟著攻擊者在協議里進行抵押操作，接著調用borrow函數進行借款，由于WALBT代幣的價格被修改而拉高，導致協議給攻擊者鑄造了大量BEUR代幣

5.在另一筆攻擊交易中，攻擊者利用上述方法修改了WALBT的價格，然后清算了市場上其他存在負債的用戶以此獲得大量的WALBT代幣。

6.根據慢霧MistTrack分析，1.13億WALBT已在Polygon鏈burn并從ETH鏈提款ALBT，后部分ALBT通過0x兌換為ETH；部分BEUR已被攻擊者通過Uniswap兌換為USDC后通過Multichain跨鏈到ETH鏈并兌換為DAI。

慢霧安全團隊分析認為，此次攻擊的根本原因在于攻擊者利用預言機報價所需抵押物的成本遠低于攻擊獲得利潤從而通過惡意提交錯誤的價格操控市場并清算其他用戶。截止目前，94.6萬ALBT已被兌換為695ETH，55.8萬BEUR已被兌換為53.4萬DAI。黑客仍在持續兌換ALBT為ETH，暫未發現資金轉移到交易所等平臺，MistTrack將持續監控黑客異動并跟進拉黑。

Tags：ETHALBTLBTOWNtogetherbnb手游下載最新版ALBT幣為什么LBTC幣暴跌CROWN價格

比特幣交易所