据成都链安链必应-区块链安全态势感知平台舆情监测显示，VisorFinance于北京时间2021年12月21日晚上10点18分遭受攻击。经成都链安技术团队分析，本次攻击利用了VisorFinance项目抵押挖矿合约RewardsHypervisor的两个漏洞：
成都链安：fortress被盗金额已被转换成1048eth并转入了Tornado Cash:5月9日消息，据成都链安安全舆情监控数据显示，fortress 遭受预言机价格操控攻击，被盗金额已被转换成1048eth并转入了Tornado Cash。经成都链安技术团队分析，本次攻击原因是由于fortress项目的预言机FortressPriceOracle的数据源Chain合约的价格提交函数submit中，将价格提交者的权限验证代码注释了，导致任何地址都可以提交价格数据。攻击者利用这个漏洞，提交一个超大的FST价格，导致抵押品价值计算被操控，进而借贷出了项目中所有的代币。
攻击交易：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf
攻击者地址：0xa6af2872176320015f8ddb2ba013b38cb35d22ad
攻击者合约：0xcd337b920678cf35143322ab31ab8977c3463a45[2022/5/9 3:00:21]
1.call调用未对目标合约进行限制，攻击者可以调用任意合约，并接管了抵押挖矿合约的执行流程；<-主要漏洞，造成本次攻击的根本原因。
成都链安：正在追查Ronin攻击事件的资金去向:据成都链安链必应-区块链安全态势感知平台舆情监测显示，Axie Infinity侧链Ronin遭到攻击，17.36万枚ETH和2550万USDC被盗，总金额约合价值为6.15亿美元。在这里，成都链安对此类跨链桥项目给出以下建议:
1.注意签名服务器的安全性；
2.签名服务在相关业务下线时，应及时更新策略，关闭对应的服务模块，并且可以考虑弃用对应的签名账户地址；
3.多签验证时，多签服务之间应该逻辑隔离，独立对签名内容进行验证，不能出现部分验证者能够直接请求其它验证者进行签名而不用经过验证的情况；
4.项目方应实时监控项目资金异常情况。[2022/3/30 14:25:56]
2.函数未做防重入攻击；<-次要漏洞，导致了抵押凭证数量计算错误，不是本次攻击的主要利用点，不过也可凭此漏洞单独发起攻击。
动态 | 任子行斥资1000万元增资成都链安 推动区块链行业安全监管:任子行(300311)11月28日晚公告，公司拟以自有资金 1000 万元向成都链安增资。增资完成后，公司将获得成都链安 5.39%股权。公司与成都链安创始人杨霞、郭文生、高子扬于 11 月 28 日签署了投资协议。
任子行称，公司聚焦网络空间数据治理，为工信部、等部门提供网络安全产品和服务。此次投资是基于公司网络安全行业整体战略规划以及自身发展需要，持续跟进前沿技术，在网络安全新兴领域的重要布局。双方合作有利于发挥各自优势，积极推动区块链行业的安全监管，促进公司整体战略长期、持续、高效发展。（中证网）[2019/11/29]
针对这两个问题，成都链安建议项目方应做好下面两方面：
1.进行外部合约调用时，建议增加白名单，禁止任意的合约调用，特别是能够控制合约执行流程的关键合约调用；
2.函数做好防重入，推荐使用openzeppelin的ReentrancyGuard合约。
此前消息称，流动性管理协议VisorFinance遭黑客攻击，损失约820万美元。BentFinance官方表示，攻击者盗取51.3万cvxcrvLP代币，建议所有用户现在撤回其MIMLP。Bent上的cvxcrv和mimCurve池是受影响的池，已禁用cvxcrv和mim池的奖励申领。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。