ForesightNews消息，据慢雾安全团队情报，2023年2月3日，OrionProtocol项目在以太坊和BNBChain链上的合约遭到攻击，攻击者获利约302.7万美元。慢雾安全团队以简讯的形式分享如下：1.攻击者首先调用ExchangeWithAtomic合约的depositAsset函数进行存款，存入0.5个USDC代币为下面的攻击作准备；2.攻击者闪电贷出284.47万枚USDT代币，接着调用ExchangeWithAtomic合约的doSwapThroughOrionPool函数兑换代币，兑换路径是；3.因为兑换出来的结果是通过兑换后ExchangeWithAtomic合约里的USDT代币余额减去兑换前该合约里的USDT代币余额，但问题就在将USDC兑换为ATK后，会调用ATK代币的转账函数，该函数由攻击恶意构造会通过攻击合约调用ExchangeWithAtomic合约的depositAsset函数来将闪电贷获得的284.4万USDT代币存入ExchangeWithAtomic合约中。此时攻击合约在ExchangeWithAtomic合约里的存款被成功记账为284.47万枚并且ExchangeWithAtomic合约里的USDT代币余额为568.9万枚，使得攻击者兑换出的USDT代币的数量被计算为兑换后的568.9万减去兑换前的284.47万等于284.47万；4.之后兑换后的USDT代币最后会通过调用库函数creditUserAssets来更新攻击合约在ExchangeWithAtomic合约里的使用的账本，导致攻击合约最终在ExchangeWithAtomic合约里USDT代币的存款记账为568.9万枚；5.最后攻击者调用ExchangeWithAtomic合约里的withdraw函数将USDT提取出来，归还闪电贷后将剩余的283.6万枚USDT代币换成WETH获利。攻击者利用一样的手法在BNBChain上的也发起了攻击，获利19.1万美元；此次攻击的根本原因在于合约兑换功能的函数没有做重入保护，并且兑换后再次更新账本存款的数值是根据兑换前后合约里的代币余额差值来计算的，导致攻击者利用假代币重入了存款函数获得超过预期的代币。
慢雾：有用户遭钓鱼攻击，在OpenSea上架的NFT以极低匹配价格售出:据慢雾消息，有用户在 OpenSea 挂单售卖的 NFT 被恶意的以远低于挂单价匹配买。经慢雾安全团队分析，此是由于该受害用户遭受钓鱼攻击，错误的对攻击者精心构造的恶意订单进行签名，恶意订单中指定了极低的出售价格、买方地址为攻击者以及出售 NFT 为受害用户在 OpenSea 上架的待出售 NFT。攻击者使用受害用户已签名的出售订单以及攻击者自己的购买订单在 OpenSea 中进行匹配，并以攻击者指定的极低价格成交，导致受害用户的 NFT 以非预期的价格售出。[2021/12/11 7:31:47]
动态 | 慢雾：9 月共发生 12 起较典型的安全事件，供应链攻击趋势愈发明显:过去的 9 月区块链生态共发生 12 起较典型的安全事件，包括：EOSPlay 遭受新型随机数攻击、资金盘项目 FairWin 智能合约权限管理缺陷、EOS 黑名单账号 craigspys211 利用新晋 BP 黑名单缺陷转移走 19.999 万枚 EOS 等典型安全事件。此外，慢雾区块链威胁情报(BTI)系统监测发现，针对区块链生态的供应链攻击越来越多，形如：去年 11 月慢雾披露的污染 NPM 模块 EventStream、今年 7 月披露的对数字货币钱包 Agama 构建链的攻击、今年 8 月披露的针对数字货币行情/导航站的 URL 劫持攻击，还有 9 月慢雾披露的针对交易所使用的第三方统计、客服 js 的恶意代码植入，进行实施盗币攻击。[2019/10/1]
声音 | 慢雾：使用中心化数字货币交易所及钱包的用户注意撞库攻击:据慢雾消息，近日，注意到撞库攻击导致用户数字货币被盗的情况，具体原因在于用户重复使用了已泄露的密码或密码通过撞库攻击的“密码生成基本算法”可以被轻易猜测，同时用户在这些中心化服务里并未开启双因素认证。分析认为，被盗用户之所以没开启双因素认证是以为设置了独立的资金密码就很安全，但实际上依赖密码的认证体系本身就不是个足够靠谱的安全体系，且各大中心化数字货币交易所及钱包在用户账号风控体系的策略不一定都一致，这种不一致可能导致用户由于“惯性思维”而出现安全问题。[2019/3/10]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。