2023年4月28日，据Beosin-Eagle Eye态势感知平台消息，0vix Protocol项目遭受闪电贷攻击，损失约为200万美元。0VIX 在 Twitter 上证实了此次攻击，并表示“正在调查当前情况”。
Beosin安全团队第一时间对事件进行了分析，结果如下。
CertiK：NFT纸牌游戏Z-ERA出现漏洞损失28.5万美元:金色财经报道，区块链安全公司CertiK报告称，基于NFT的纸牌游戏Z-ERA出现漏洞损失285,000美元。CertiK发现了一个涉及由外部帐户部署的未经验证的合约的漏洞。攻击者获得了180万个ZERA代币并出售，导致ZERA代币价格暴跌99%。
此外，1178.5枚BNB被转移到Tornado Cash。被盗代币约占总供应量的27%。尽管事件发生在游戏发布后不久，但Z-ERA对这次袭击事件保持沉默。[2023/6/22 21:53:26]
攻击交易
0x10f2c28f5d6cd8d7b56210b4d5e0cece27e45a30808cd3d3443c05d4275bb008
攻击者地址
特斯拉：2022年因比特币减值损失2.04亿美元:金色财经报道，特斯拉：2022年因比特币减值损失2.04亿美元。2022年，将比特币转换为法定货币的收益为6400万美元。[2023/1/31 11:38:58]
0x702ef63881b5241ffb412199547bcd0c6910a970
攻击合约
0x407feaec31c16b19f24a8a8846ab4939ed7d7d57
被攻击合约
0x738fe8a918d5e43b705fc5127450e2300f7b08ab
1.第一步，攻击者通过闪电贷借出大量的资金，为后面的攻击做准备。
动态 | GateHub的潜在安全漏洞可能导致用户损失2300万XRP:据AMBCrypto报道，2K/DENMARK公司创意总监Thomas Silkj?概述了GateHub的一个“潜在安全漏洞”，该漏洞可能导致用户损失约2300万XRP。GateHub是安全存储/交易XRP的钱包和网关。Silkj?写道，6月1日，在两个钱包之间的一笔约201000 XRP的交易中发现了这一漏洞。[2019/6/6]
2.第二步，攻击者铸造凭证币，已允许借出其他资产。
3.第三步，攻击者向vGHST地址转入1656000 枚GHST Token。
加密货币对冲基金业绩损失20%以上:对于许多加密货币对冲基金来说，2018年加密货币熊市迹象已经很明显了。今年以来，加密货币基金的平均业绩已经损失20%以上，至少有9家对冲基金已经停止运营。[2018/4/4]
4.后续清算黑客的借贷头寸，清算借入的头寸用于取回原始抵押品。
5.最后攻击者偿还闪电贷。
本次攻击黑客利用了VGHSTOracle预言机漏洞，因为VGHSTOracle预言机获取的价格是通过vGHST合约的convertVGHST函数去获取的，而convertVGHST函数中的计算依靠于合约中的GHST Token数量。
在操控价格前ghst为1038332409246369136，如下图：
攻击者向vGHST地址转入1656000 枚GHST Token后，ghst为1785061331510841538，如下图：
由于抬高了价格，已至于黑客可以清算借入的头寸用于取回原始抵押品。
截止发文时，攻击者通过跨链协议从matic转移到以太坊上，目前被盗资金存放在：
https://etherscan.io/address/0x702Ef63881B5241ffB412199547bcd0c6910A970。Beosin KYT反分析平台正在对被盗资金进行监控。
针对本次事件，Beosin安全团队建议：合约开发时，因避免预言机被操控，建议使用更加安全的预言机来预言价格。项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
来源：Beosin
Beosin
企业专栏
阅读更多
金色荐读
金色财经 善欧巴
Chainlink预言机
区块律动BlockBeats
白话区块链
金色早8点
Odaily星球日报
欧科云链
深潮TechFlow
MarsBit
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。