EOS:安全團隊：Nomad攻擊者利用了合約中的process函數提取資金_ESS

成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，跨鏈通訊協議Nomad遭遇攻擊，成都鏈安安全團隊現將解析結果分享如下，通過被攻擊合約(0x88a69b4e698a4b090df6cf5bd7b2d47325ad30a3)的轉賬交易看到，許多地址都進行了攻擊。通過找到一筆相關交易，可以到看到攻擊者利用了合約中的process函數進行提取。

安全團隊：Deviants項目Discord服務器遭到攻擊:金色財經報道，據CertiK監測，Deviants項目Discord服務器遭到攻擊。請社區用戶在服務器修復之前不要點擊任何鏈接或聲明消息。[2023/1/4 9:51:28]

在process函數中，可以看到合約對_messageHash進行了判斷，而輸入的messages為0x000000....時，相當于任何未使用的hash，都可以判斷通過。然后跟進acceptableRoot函數，因為_root設置為零(0x000000....),而confirmAt等于1，導致判斷恒成立，攻擊者就能提取資金。

安全團隊：以太坊上PEAKDEFI遭攻擊，黑客獲利約6.6萬美元:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin?EagleEye 安全風險監控、預警與阻斷平臺監測顯示，ETH鏈上的PEAKDEFI項目遭受攻擊，攻擊者利用合約中sellLeftoverToken()函數未進行權限校驗。導致黑客合約中轉走29832 BAT，5083 SUSHI，32508 matic，831 link，總價值66659美元。[2022/11/5 12:19:47]

此前消息，此前消息，Nomad遭遇黑客攻擊，其代幣橋內的1.9億美元資金幾乎全部耗盡。

分析 | 慢霧安全團隊提醒｜EOS假賬號安全風險預警:根據IMEOS報道，EOS 假賬號安全風險預警，慢霧安全團隊提醒：

如果 EOS 錢包開發者沒對節點確認進行嚴格判斷，比如應該至少判斷 15 個確認節點才能告訴用戶賬號創建成功，那么就可能出現假賬號攻擊。

攻擊示意如下：

1. 用戶使用某款 EOS 錢包注冊賬號（比如 aaaabbbbcccc），錢包提示注冊成功，但由于判斷不嚴格，這個賬號本質是還沒注冊成功

2. 用戶立即拿這個賬號去某交易所做提現操作

3. 如果這個過程任意環節作惡，都可能再搶注 aaaabbbbcccc 這個賬號，導致用戶提現到一個已經不是自己賬號的賬號里

防御建議：輪詢節點，返回不可逆區塊信息再提示成功，具體技術過程如下：

1. push_transaction 后會得到 trx_id

2. 請求接口 POST /v1/history/get_transaction

3. 返回參數中 block_num 小于等于 last_irreversible_block 即為不可逆[2018/7/16]

Tags：EOSESSPeakDeFiSINPIXEOSsorceressprotocolBUSINESSES

Pol幣