SIN:Beosin發布dForce合約遭受攻擊事件簡析_TRA

據區塊鏈安全審計公司Beosin旗下BeosinEagleEye安全風險監控、預警與阻斷平臺監測顯示，dForce合約，分別在Optimism和Arbitrum兩條L2鏈上遭到了攻擊。兩條鏈上總損失約370萬美元。據Beosin安全技術人員分析，原因為項目方外部接口curve的使用方式不當，未考慮重入風險，影響了Oracle的價格，攻擊者在價格被操縱的情況下清算頭寸獲取利潤。

Beosin：SnarkJS 0.6.11及之前的版本中存在嚴重漏洞:金色財經報道，Beosin 安全研究人員在 SnarkJS 0.6.11及之前的版本的庫中發現了一個嚴重漏洞，SnarkJS 是一款用于構建零知識證明的開源 JavaScript 庫，廣泛應用于 zk-SNARK 技術的實現和優化。Beosin在提了這個漏洞以后，第一時間聯系項目方并協助修復，目前該漏洞還處于修復測試中。Beosin提醒所有使用了SnarkJS庫的項目方，在SnarkJS 庫這個漏洞還沒完全修復時，一定要注意安全風險。[2023/5/18 15:11:20]

在Arbitrum上的攻擊交易獲利719,437枚dForceUSD和1236枚ETH。ETH還留在Arbitrum鏈上的地址上，USX通過跨鏈橋轉移到Optimism鏈上。在Optimism鏈上的攻擊交易獲利1,037,000USX，最后所有的USX被兌換成了1110枚ETH。BeosinTrace追蹤發現目前被盜ETH還留在Optimism鏈上的地址上。

Beosin：攻擊者利用多簽錢包執行了修改TradingHelper合約的router地址的交易:2月21日，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，Hope Finance項目Rug Pull。Beosin安全團隊分析發現攻擊者(0xdfcb)利用多簽錢包(0x1fc2)執行了修改TradingHelper合約的router地址的交易，從而使GenesisRewardPool合約在使用openTrade函數進行借貸時，調用TradingHelper合約SwapWETH函數進行swap后并不會通過原本的sushiswap的router進行swap操作，而是直接將轉入的代幣發送給攻擊者(0x957d)從而獲利。攻擊者共兩次提取約180萬美金。

Beosin Trace追蹤發現攻擊者已將資金轉入跨鏈合約至以太鏈，最終資金都已進入tornado.cash。

Beosin提醒用戶：請勿在0x1FC2..E56c合約進行抵押操作，建議取消所有與該項目方相關的授權。[2023/2/21 12:19:54]

此前消息，dForce證實遭遇攻擊并正制定補救措施。

動態 | Beosin預警：cubecontract遭受攻擊 攻擊者已獲利:Beosin（成都鏈安）預警，今天下午14:46-14:51之間，根據成都鏈安區塊鏈安全態勢感知系統Beosin-Eagle Eye檢測發現，黑客justjiezhan1向EOS競猜類游戲cubecontract發起攻擊且已經獲利。在此之前，黑客justjiezhan1已于12:00:41左右開始部署攻擊合約，成都鏈安安全分析人員初步分析認為攻擊者仍然與之前的攻擊手法相同，為交易阻塞攻擊。在此我們建議游戲合約開發者應該重視游戲邏輯嚴謹性及代碼安全性，同時呼吁游戲項目方在項目上鏈前進行完善的代碼安全審計，必要時可借助第三方專業審計團隊的力量防患于未然。[2019/3/18]

Tags：EOSSINTRANAREOS TrustNew Guinea Singing InuNeutral Dollarlunar幣蒸發了多少

幣贏