黑客超額完成KPI？受影響金額約1.2億美元 本周Web3安全事件回顧_BIT

有黑客用一千萬“撬動”Solana生態上億資金，也有黑客鋌而走險，薅起了交易所的羊毛，同時也有一些Web3項目遭遇私鑰泄露、閃電貸攻擊。

BeosinEagleEyeWeb3安全預警與監控平臺監測顯示，截止發稿時，本周共發生8起攻擊類相關的安全事件，累計受影響金額約1.2億美元，和Beosin安全團隊一起來盤點一下吧。

10月9日?

1.XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍

10月9日，XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍。本次攻擊是攻擊者通過調用DaoModule合約的executeProposalWithIndex()函數執行了攻擊者的惡意提案，使得意外鑄造了100,000,000,000,000個RNBW，并將ownership權限轉移給攻擊者。最后黑客將其兌換為xRNBW。

火幣波卡生態基金贊助活動“Substrate黑客馬拉松”結束:據官方消息，2020年12月19-20日，全球極客組織和開發者平臺 DoraHacks 在杭州組織了今年國內首場Substrate黑客馬拉松（Hackathon），來自全國各地近百位極客在波卡生態中探索開發新技術、新產品，并誕生了10個波卡生態新項目。火幣波卡生態基金與波卡國庫為本次活動提供了價值超過1萬美金的Grant獎金用于激勵本場活動的優勝團隊。

據火幣波卡生態大使陳樂介紹，“火幣波卡生態基金規模有500萬美元，主要為波卡生態中的開發者、活動發起者、內容創作者、波卡大使等任何計劃為波卡生態做貢獻的個人和組織提供贊助。Substrate黑客馬拉松作為火幣波卡生態基金贊助的首個項目，是一個非常好的開始，說明了基金對于技術領域的重視和支持。”[2020/12/22 16:04:52]

2.Jumpnfinance項目發生Rugpull，涉及金額約115萬美元

CMC創始人：公司從未遭到過黑客攻擊:CoinMarketCap在推特舉辦首席執行官兼創始人BrandonChez的AMA，當被問及AMA格式是出于匿名還是隱私目的時，Chez表示，“我確實重視我的隱私，但我并不完全反對未來嘗試更多的AMA格式。Chez表示，“CMC在早期曾數次被DDoS攻擊，但我很高興地說，我們從未遭到過黑客攻擊。”有推特用戶提到2019年報告稱CMC顯示虛假交易量的話題。Chez表示，“我們已經發布一個新的度量標準，可以更準確地描述交易所的活動，”Chez提及的是流動性指標。至于Chez是如何進入加密領域的，他指出，2011年比特幣資產達到1美元時，他偶然發現一篇關于比特幣的文章，此后一直參與其中。[2020/2/29]

Jumpnfinance項目Rugpull。攻擊者調用0xe156合約的0x6b1d9018()函數，提取了該合約中的用戶資產，存放在攻擊者地址上。目前被盜資金中2100BNB($581,700)已轉入Tornado.Cash，剩余部分2058BNB還存放在攻擊者地址。

動態 | 已有價值近千萬EOS偷跑 黑客銷贓方式無規律可循:據PeckShield數字資產護航系統數據顯示，“209萬EOS偷跑事件”有了進一步動態，截至目前，黑客已經將總計44萬個EOS分散轉入火幣、幣安、Bitfinex、ChangeNOW交易所，價值近千萬元。02月22日，PeckShield率先發現曾被ECAF凍結的賬號gm3dcnqgenes出現異動，轉走了209萬個EOS。此后，PeckShield安全人員通過一段時間追蹤發現，為逃避資產追蹤，黑客先是將贓款分散至多個不同的EOS賬號，在轉移贓款時再分散轉至多個不同的交易所，且逐漸傾向于小交易所。轉入交易所后，黑客會將贓款通過EOS交易對轉化為其他代幣再進行拋售，銷贓時間頻次和交易額度并無規律可循。目前，損失209萬EOS的受害者已經和我們聯系請求追贓，PeckShield在火幣、幣安等交易所的協同下，正進一步追蹤贓款流向，盡最大可能幫助受害者挽回損失。[2019/3/5]

黑客攻擊受害者向法院申請要求BitGrail破產:據cointelegraph消息，代表BitGrail黑客攻擊受害者的意大利律師事務所BonelliErede已經向意大利法院提交了一份請愿書，要求其根據意大利破產法第6條宣布BitGrail破產。根據“BitGrail受害者小組”在Medium發布文章顯示，BonelliErede律師事務所代表BitGrail的債權人Espen Enger提交了破產申請，據稱該申請人已與3000多名索賠人達成了聯系。據報道，大多數受害者告表示“寧愿立即對BitGrail的資產進行破產核算”，因為擔心他們的資產會進一步耗盡。[2018/4/29]

10月11日?

1.QANplatform跨鏈橋遭受黑客攻擊，疑似項目方私鑰泄露，涉及金額約189萬美元

本次事件交易的發起地址是一個疑似項目方的地址，攻擊者通過該地址調用跨鏈橋合約中的bridgeWithdraw函數提取QANX代幣，然后把QANX代幣兌換為相應平臺幣，目前被盜資金依然存放在攻擊者地址上。

2.Rabby項目遭受黑客攻擊，請用戶取消對相應合約的授權

本次事件是因為RabbyRouter的_swap函數存在外部調用漏洞,導致任何人都可以通過調用該函數，將授權到該合約用戶的資金轉走。目前攻擊者已在Ethereum，BSC鏈，polygon，avax，Fantom，optimistic，Arbitrum發起攻擊，請用戶取消對相應合約的授權。

3.TempleDAO項目遭受黑客攻擊，涉及金額約236萬美元

本次事件是因為StaxLPStaking合約中的migrateStake函數缺少權限校驗，導致任何人都可以通過調用該函數提取合約中的StaxLP。攻擊者攻擊成功后，把獲得的全部StaxLP代幣兌換為了ETH。

10月12日?

1.Journeyofawakening(ATK)項目遭受閃電貸攻擊

本次事件攻擊者通過閃電貸攻擊的方式攻擊了ATK項目的策略合約，從合約中獲取了大量的ATK代幣，之后攻擊者把獲得的全部ATK代幣兌換為約12萬美元的BSC-USD。

2.Solana生態去中心化交易平臺Mango遭遇黑客攻擊，影響高達1.16億美元。

黑客使用了兩個賬戶，一共1000萬USDT起始資金。

第一步，攻擊者向Mango市場存入了500萬USDC。

第二步，攻擊者在MNGO-ERP市場創建了一個4.83億的PlacePerpOrder2頭寸。

第三步，MNGO的價格被操縱，從0.0382美元到0.91美元，通過使用一個單獨的賬戶對其頭寸進行對手交易。

賬戶2現在有4.83億*(0.91-0.03298美元)=4.23億美元，這使得攻擊者可以借出1.16億美元的資金。

10月13日?

1.FTX交易所遭到gas竊取攻擊

FTX交易所遭到gas竊取攻擊，黑客利用FTX支付的gas費用鑄造了大量XENTOKEN。本次事件攻擊者通過FTX熱錢包多次少量的提取以太坊，FTX熱錢包地址會向攻擊合約地址多次轉入小額的資金，隨后會調用到攻擊合約的fallback()函數，通過該函數攻擊者向Xen合約發起鑄幣請求。而Xen合約僅需傳入一個時間期限，便可支持無成本鑄幣，只需支付交易Gas費，但在此次調用過程中，交易發起者為FTX熱錢包地址，所以整個調用過程的gas都是由FTX熱錢包地址所支付，而Xen鑄幣地址為攻擊者地址，達到攻擊的目的。

Tags：EOSBITFTXRAINeos CreditsbitopicCITIES Vault (NFTX)BRAIN

PEPE幣