慢霧：Orion Protocol被黑根本原因在于合約兌換功能的函數沒有做重入保護_USD

慢霧安全團隊發布了OrionProtocol被黑分析，OrionProtocol項目的ETH和BSC鏈上的合約遭到攻擊，攻擊者獲利約302.7萬美元。此次攻擊的根本原因在于合約兌換功能的函數沒有做重入保護，并且兌換后再次更新賬本存款的數值是根據兌換前后合約里的代幣余額差值來計算的，導致攻擊者利用假代幣重入了存款函數獲得超過預期的代幣。

慢霧：V神相關地址近日于Uniswap賣出3000枚以太坊:11月14日消息，據慢霧監測顯示，以太坊創始人Vitalik Buterin地址（0xe692開頭）近日在Uniswap V3上分三筆將3000枚以太坊（約400萬美元）兌換成了USDC。[2022/11/14 13:03:22]

具體分析如下：1.攻擊者首先調用ExchangeWithAtomic合約的depositAsset函數進行存款，存入0.5個USDC代幣為下面的攻擊作準備；2.攻擊者閃電貸出284.47萬枚USDT代幣，接著調用ExchangeWithAtomic合約的doSwapThroughOrionPool函數兌換代幣，兌換路徑是；3.因為兌換出來的結果是通過兌換后ExchangeWithAtomic合約里的USDT代幣余額減去兌換前該合約里的USDT代幣余額，但問題就在兌換USDC->ATK后，會調用ATK代幣的轉賬函數，該函數由攻擊惡意構造會通過攻擊合約調用ExchangeWithAtomic合約的depositAsset函數來將閃電貸來的284.4萬USDT代幣存入ExchangeWithAtomic合約中。此時攻擊合約在ExchangeWithAtomic合約里的存款被成功記賬為284.47萬枚并且ExchangeWithAtomic合約里的USDT代幣余額為568.9萬枚，使得攻擊者兌換出的USDT代幣的數量被計算為兌換后的568.9萬減去兌換前的284.47萬等于284.47萬；4.之后兌換后的USDT代幣最后會通過調用庫函數creditUserAssets來更新攻擊合約在ExchangeWithAtomic合約里的使用的賬本，導致攻擊合約最終在ExchangeWithAtomic合約里USDT代幣的存款記賬為568.9萬枚；5.最后攻擊者調用ExchangeWithAtomic合約里的withdraw函數將USDT提取出來，歸還閃電貸后將剩余的283.6萬枚USDT代幣換成WETH獲利。攻擊者利用一樣的手法在BSC鏈上的也發起了攻擊，獲利19.1萬美元。

慢霧：美國演員SethGreen的NFT遭釣魚攻擊，資金已跨鏈到 BTC 并混幣:5月18日消息，美國演員SethGreen遭遇釣魚攻擊致4個NFT（包括1個BAYC、2個MAYC和1個Doodle）被盜，釣魚者地址已將NFT全部售出，獲利近160枚ETH（約33萬美元）。

慢霧MistTrack對0xC8a0907開頭的釣魚地址分析后，發現總共有8個用戶的NFT被盜，包含MAYC、Doodle、BAYC、VOX等12類NFT，全部售出后總獲利194ETH。同時，該釣魚地址初始資金0.188ETH來自Change NOW。釣魚者地址將大部分ETH轉換為renBTC后跨鏈到6個BTC地址，約14BTC均通過混幣轉移以躲避追蹤。NFT釣魚無處不在，請大家保持懷疑，提高警惕。[2022/5/18 3:24:23]

此前今日早些時候消息，OrionProtocol在攻擊事件中損失約300萬美元，官方暫停存款功能并正修復漏洞。

慢霧：警惕QANX代幣的雙花攻擊風險:據慢霧區消息，近期存在惡意用戶利用QANX代幣的轉賬鎖定、解鎖功能(transferLocked/unlock)觸發的事件記錄與正常使用transfer功能轉賬觸發的Transfer事件記錄相同而進行雙花攻擊。

慢霧安全團隊建議已上架此幣種的平臺及時自查，未上架的平臺在對接此類幣種時應注意以上風險。

QANX: 0xaaa7a10a8ee237ea61e8ac46c50a8db8bcc1baaa[2022/3/26 14:18:46]

Tags：USDHANCHAWITH怎么挖usdt幣Hanzo InuEDCC BlockchainDontPlaywithKitty

酷幣下載