Beosin发布dForce合约遭受攻击事件简析_TIMI:FarmEOS

据区块链安全审计公司Beosin旗下BeosinEagleEye安全风险监控、预警与阻断平台监测显示,dForce合约,分别在Optimism和Arbitrum两条L2链上遭到了攻击。两条链上总损失约370万美元。据Beosin安全技术人员分析,原因为项目方外部接口curve的使用方式不当,未考虑重入风险,影响了Oracle的价格,攻击者在价格被操纵的情况下清算头寸获取利润。

Beosin:稳定币协议Steadifi遭到攻击损失约114万美元:金色财经报道,据Beosin EagleEye监测发现,稳定币协议Steadifi遭到攻击,攻击者获取了协议部署钱包的控制权。攻击者已将所有金库(借贷和策略)投资组合的所有权转移至自己控制的钱包(0x9cf71F2ff126B9743319B60d2D873F0E508810dc),目前,攻击者已在Arbitrum和Avalanche上耗尽了所有可借出资金,并通过跨链桥将资产兑换成以太币转移到以太坊主网,被盗资金约1,140,000美元。

Steadifi正与攻击者进行谈判,提供10%的赏金以换回剩余90%的被盗资产。[2023/8/8 21:31:18]

在Arbitrum上的攻击交易获利719,437枚dForceUSD和1236枚ETH。ETH还留在Arbitrum链上的地址上,USX通过跨链桥转移到Optimism链上。在Optimism链上的攻击交易获利1,037,000USX,最后所有的USX被兑换成了1110枚ETH。BeosinTrace追踪发现目前被盗ETH还留在Optimism链上的地址上。

Beosin:Thoreum Finance项目被黑客攻击,被盗资金约58万美元:金色财经报道,据Beosin EagleEye 安全预警与监控平台检测显示,Thoreum Finance项目被黑客攻击,涉及金额约为58万美元。由于ThoreumFinance项目方创建的未开源合约0x79fe的transfer函数疑似存在漏洞,当transfer函数的from和to地址相同时,由于使用临时变量存储余额,导致给自己转账时,余额会成倍增加,攻击者重复操作多次,最终获利2000BNB。

Beosin安全团队通过Beosin Trace进行追踪,发现被盗资金已全部转入tornado cash。[2023/1/19 11:21:19]

此前消息,dForce证实遭遇攻击并正制定补救措施。

Beosin:Gnosis Omni Bridge跨链桥项目存在合约层面的重放漏洞:金色财经报道,Beosin 安全团队发现,在以太坊合并并分叉出 ETHW 后,Gnosis Omni Bridge跨链桥项目,由于合约代码中固定写死了chainID,而未真正验证当前所在链的chainID,导致合约在验证签名时能够在分叉链上验证通过。攻击者首先在 ETH 主网上通过omni Bridge 转移 WETH,随后将相同的交易内容在 ETHW 链上进行了重放,获取了等额的 ETHW。目前攻击者已经转移了 741 ETHW 到交易所。

Beosin 安全团队建议如果项目方合约里面预设了chainID,请先手动将chainId更新,即使项目方决定不支持ETHW,但是由于无法彻底隔绝通过跨链桥之间的资产流动,建议都在ETHW链上更新。[2022/9/19 7:04:46]

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

[0:0ms0-4:691ms