黑客超額完成KPI？受影響金額約1.2億美元 本周Web3安全事件回顧_SEA

有黑客用一千萬“撬動”Solana 生態上億資金，也有黑客鋌而走險，薅起了交易所的羊毛，同時也有一些Web3項目遭遇私鑰泄露、閃電貸攻擊。

Beosin EagleEye Web3安全預警與監控平臺監測顯示，截止發稿時，本周共發生8起攻擊類相關的安全事件，累計受影響金額約1.2億美元，和Beosin安全團隊一起來盤點一下吧。

10月9日 

1. XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍

10月9日，XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍。本次攻擊是攻擊者通過調用DaoModule合約的executeProposalWithIndex()函數執行了攻擊者的惡意提案，使得意外鑄造了100,000,000,000,000個RNBW，并將ownership權限轉移給攻擊者。最后黑客將其兌換為xRNBW。

CertiK：Star Protocol項目Discord服務器遭黑客入侵:金色財經報道，據CertiK官方推特發布消息稱，Star Protocol項目Discord服務器遭黑客入侵。在團隊確認已重獲對服務器的控制之前，請勿點擊任何鏈接。[2023/7/11 10:47:24]

2. Jumpnfinance項目發生Rugpull，涉及金額約115萬美元

Jumpnfinance項目Rugpull。攻擊者調用0xe156合約的0x6b1d9018()函數，提取了該合約中的用戶資產，存放在攻擊者地址上。目前被盜資金中2100 BNB ($581,700)已轉入Tornado.Cash，剩余部分2058 BNB（$571,128）還存放在攻擊者地址。

The Block新聞負責人：OpenSea未出現漏洞，黑客利用釣魚郵件發起攻擊:2月20日消息，據The Block新聞負責人 Frank Chaparro 轉發 Cyphr.ETH 推文稱，黑客使用了標準網絡釣魚電子郵件復制了幾天前發生的正版 OpenSea電子郵件，然后讓一些用戶使用 WyvernExchange 簽署權限。OpenSea 未出現漏洞，只是人們沒有像往常一樣閱讀簽名權限。

今日有消息稱，多位用戶發現 OpenSea 昨日推出的新遷移合約疑似出現 Bug，攻擊者正利用該 Bug 竊取大量 NFT 并賣出套利，失竊 NFT 涵蓋 BAYC、BAKC、MAYC、Azuki、Cool Cats、Doodles、Mfers 等多種高價值系列。

OpenSea 官方隨后作出回應，「我們正在積極調查與 OpenSea 智能合同有關的傳聞。這看起來像是來自 OpenSea 網站外部的網絡釣魚攻擊。不要點擊opensea.io 之外的任何鏈接。[2022/2/20 10:03:29]

1. QANplatform跨鏈橋遭受黑客攻擊，疑似項目方私鑰泄露，涉及金額約189萬美元

聲音 | 慢霧創始人余弦：優秀的公鏈是敬畏黑客 但又不懼黑客的:區塊鏈安全公司慢霧創始人余弦在線上表示，至少有四個理由表明黑客攻擊事件多的公鏈反而更可能快速發展：1、只要不會出現超巨額不可挽救損失，積極的社區治理總能渡過難關，而且可以大大提高公鏈的知名度；2、公鏈如果關注度低或價值低，攻擊者也不一定會感興趣，機會成本的問題，除非攻擊者本身就屬于這條公鏈生態的一部分或可以輕易了解這條公鏈；3、越偏應用層的攻擊會越多，比如 DApp 越多，原則上被攻擊成功的數量也會多，這可能會造成一種假象：這條公鏈似乎很不安全，但真相可能恰恰相反；4、類比早期的 Windows XP，安全問題極多，但卻奠定了個人電腦操作系統生態的霸主地位。與此同時，余弦總結道：持續黑客攻擊導致破產倒閉、低價被收購的血淋淋案例。所以優秀的公鏈是敬畏黑客，但又不懼黑客的。[2019/3/5]

本次事件交易的發起地址是一個疑似項目方的地址，攻擊者通過該地址調用跨鏈橋合約中的bridgeWithdraw函數提取QANX代幣，然后把QANX代幣兌換為相應平臺幣，目前被盜資金依然存放在攻擊者地址上。

亞特蘭大政府恢復網站費用已遠超挖礦黑客勒索費用:據Slashgear報道，美國亞特蘭大政府官員為恢復被挖礦黑客攻擊的網站，已經花費超過250萬美元。3月22日，亞特蘭大市信息系統遭挖礦黑客襲擊，黑客要求支付價值5.1萬美元的比特幣即恢復系統，遭到了官員拒絕。[2018/4/24]

2. Rabby項目遭受黑客攻擊，請用戶取消對相應合約的授權

本次事件是因為RabbyRouter的_swap函數存在外部調用漏洞,導致任何人都可以通過調用該函數，將授權到該合約用戶的資金轉走。目前攻擊者已在Ethereum，BSC鏈，polygon，avax，Fantom，optimistic，Arbitrum發起攻擊，請用戶取消對相應合約的授權。

3. TempleDAO項目遭受黑客攻擊，涉及金額約236萬美元

本次事件是因為StaxLPStaking合約中的migrateStake函數缺少權限校驗，導致任何人都可以通過調用該函數提取合約中的StaxLP。攻擊者攻擊成功后，把獲得的全部StaxLP代幣兌換為了ETH。

1. Journey of awakening (ATK)項目遭受閃電貸攻擊

本次事件攻擊者通過閃電貸攻擊的方式攻擊了ATK項目的策略合約，從合約中獲取了大量的ATK代幣，之后攻擊者把獲得的全部ATK代幣兌換為約12萬美元的BSC-USD。

2. Solana 生態去中心化交易平臺 Mango遭遇黑客攻擊，影響高達 1.16 億美元。

黑客使用了兩個賬戶，一共1000萬USDT起始資金。

第一步，攻擊者向Mango市場存入了500萬USDC。

第二步，攻擊者在MNGO-ERP市場創建了一個4.83億的PlacePerpOrder2頭寸。

第三步，MNGO的價格被操縱，從0.0382美元到0.91美元，通過使用一個單獨的賬戶（賬戶2）對其頭寸進行對手交易。

賬戶2現在有4.83億*(0.91-0.03298美元)=4.23億美元，這使得攻擊者可以借出1.16億美元的資金。

1. FTX交易所遭到gas竊取攻擊

FTX交易所遭到gas竊取攻擊，黑客利用FTX支付的gas費用鑄造了大量XEN TOKEN。本次事件攻擊者通過FTX熱錢包多次少量的提取以太坊，FTX熱錢包地址會向攻擊合約地址多次轉入小額的資金，隨后會調用到攻擊合約的fallback()函數，通過該函數攻擊者向Xen合約發起鑄幣請求。而Xen合約僅需傳入一個時間期限，便可支持無成本鑄幣，只需支付交易Gas費，但在此次調用過程中，交易發起者為FTX熱錢包地址，所以整個調用過程的gas都是由FTX熱錢包地址所支付，而Xen鑄幣地址為攻擊者地址，達到攻擊的目的。

Beosin

企業專欄

閱讀更多

白話區塊鏈

金色財經Maxwell

NFT中文社區

CoinDesk中文

達瓴智庫

去中心化金融社區

金色薦讀

肖颯lawyer

CT中文

ETH中文

ForesightNews

Tags：OPENPENSEAENSOpen Trading NetworkPENGSEAD幣Tokenswap

幣安app下載