北京时间2022年7月17日，CertiK安全团队监测到知名NFT平台Premint NFT官网被入侵后于今日遭受黑客攻击。导致了约37.5万美元的损失。
漏洞分析
黑客将恶意JavaScript代码上传至项目官网https://premint.xyz，恶意代码通过URL注入网站：https://s3-redwood-labs-premint-xyz[.]com/cdn.min.js?v=1658046560357，目前域名服务器不再存在，因此恶意文件不再可用。
Balancer：正研究bbeUSD按比例取款的解决方案，预计下周初进行:3月15日消息，去中心化交易协议 Balancer 发推表示，我们正在积极研究一种解决方案，以在 UI 上启用 bbeUSD 的按比例取款。这预计会在下周初进行，一旦上线就会更新社区。[2023/3/16 13:06:36]
该攻击导致用户在将他们的钱包连接到该网站时会被指示 "全部批准（set approvals for all）"，从而使得攻击者可访问钱包中的资产。
链上分析
有六个外部拥有账户 (EOAs)与此次攻击直接相关
Aave社区提议与Balancer达成战略合作，并购买30万枚BAL代币:3月23日消息，官方消息，Aave社区提议与Balancer达成战略合作，将经济储备中的14,666.67 AAVE兑换成200,000 BAL代币；部署Bonding Curve以在市场上额外获得100,000个BAL代币，成本为1,105,500美元。Aave将成为拥有300,000 BAL代币的八位代币持有者之一。所有300,000个BAL代币都将存入Balancer V2 BAL:ETH (80:20) 池，并在3月28日参与Balancer修订后的代币经济学。[2022/3/23 14:12:38]
0x28733...
0x0C979...
0x4eD07...
NIO GOLD生态已通过Certik代码审计:据官方消息，NIO GOLD生态已通过美国Certik代码审计。 CertiK区块链网络安全公司，由耶鲁大学与哥伦比亚大学计算机学教授共同创立。旨在使用网络与软件安全技术来识别并消除安全漏洞。截至目前，CertiK已进行了超过700次审计，审计了超过39.6万行代码，保护了超过300亿美元的资产免受损失。
据悉，NIO GOLD是基于火币生态链的综合性DeFi生态服务平台，实行极致通缩机制，致力于建设DeFi全生态服务系统。[2021/6/19 23:49:31]
0x4499b...
0x99AeB...
0xAAb00...
根据CertiK的评估，此次攻击开始于北京时间7月17日下午03:25，即为第一批被盗的NFT进入两个黑客账户的时间——恶意代码也许正是此时被上传至项目官网的。
DeFi协议Balancer将在NEAR可用:基于以太坊的去中心化金融（DeFi）协议Balancer将在NEAR可用。据悉，NEAR是以太坊的竞争对手，上周刚刚完全开放了其主网。该智能合约平台的团队承诺，与以太坊相比，将减少延迟和费用。Balancer Labs增长负责人Jeremy Musighi表示，除了专注于NEAR的工作之外，该团队还将继续专注于基于以太坊的开发。（The Block）[2020/10/27]
一位用户声称2个Goblintown NFTs被盗
在OpenSea上搜索这两个NFT，可以看到它们是如何交易的。同样，也可以通过搜索找到窃取NFT的钱包——EOA 0x0C979…
通过监测NFT的流动，我们发现该钱包完美符合Discord网络钓鱼攻击的典型模式：大量资产流入，随后被迅速抛售。该钱包的第一笔入账交易来自0xAAb00F……，其也为0x28733……提供了资金。
重复上述检测，可以确认0x28733……也参与了黑客攻击。
一名受害者发帖称，他们的Moonbirds Oddities被盗
在Etherscan搜索用户名称，显示Moonbird NFT被交易至EOA 0x28733……
该地址的流动模式与EOA 0x0C979…相同——大量资产流入，随后被迅速抛售。
这两个钱包地址共计盗取了包括BAYC、Otherside、Globlintownm在内的314个NFT（价值约37.5万美元），
针对这次攻击，Premint的推特账户发布了一个警告：不要签署“全部批准（set approvals for all）”的交易，并指示那些怀疑自己被黑客攻击的用户如何联系revoke.cash来取回他们的资产。
目前幸运的是其中两个外部账户似乎已经被发现。受害者正在联系revoke.cash以取回他们的资金。
资产去向
272 ETH (价值约37万美元) 目前存储于：https://etherscan.io/address/0x99aeb028e43f102c5776f6b652952be540826bf4。
其余2.68 ETH（价值约3636美元）存储于：https://etherscan.io/address/0xaab00f612d7ded169e51cf0142d48ff560f281f3?
此次攻击事件的部分黑客交易尚在等待处理中。
写在最后
The Bored Ape Yacht Club NFT (BAYC) 网络钓鱼攻击事件（损失约31.9万美元）及NFT艺术家 Beeple的Twitter账户被盗事件（导致其粉丝损失了价值约43.8万美元的NFT和加密货币）已充分说明了Web2.0在中心化问题上的脆弱性。
为了避免这种情况的发生，Web3.0项目应该始终围绕中心化风险和单点故障建立去中心化措施——多重签名、要求多个用户在访问特权账户时进行身份验证，并在每次交互后撤销特权。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。