链闻 ChainNews 诚邀读者共同监督,坚决杜绝各类代币发行、投资推荐及虚拟货币炒作信息。举报

慢雾文章 资讯 新闻 快讯 深度评论 介绍 解读

慢雾新闻快讯文章, 慢雾深度文章, 慢雾快讯, 区块链慢雾, 慢雾是什么, 慢雾介绍, 慢雾解读, 慢雾项目, 三分钟了解慢雾, 秒懂慢雾, 如何评价慢雾, 慢雾怎么样, 慢雾创始人, 慢雾招聘, 慢雾融资, 慢雾价格, 慢雾技术, 慢雾社区, 慢雾论坛, 慢雾浏览器, 慢雾排名, 慢雾白皮书, 慢雾本质, 慢雾意义, 慢雾代码, 慢雾游戏, 慢雾什么意思, 慢雾学习, 慢雾培训, 慢雾教程, 慢雾投资, 慢雾赚钱, 慢雾安全, 慢雾漏洞

慢雾:Value DeFi 协议闪电贷攻击分析

链闻消息,Value DeFi 的 MultiStables 保险库遭遇闪电贷攻击,慢雾安全团队于第一时间跟进并进行相关分析,以简要的形式呈现给大家,供大家参考。1. 攻击者首先从 Aave 中借出 80000 个 ETH,为攻击做准备;2. 攻击者使用 80000 个 ETH 在 Uniswap WETH/DAI 池中用闪电贷借出大量的 DAI 和 在 Uniswap WETH/DAI 兑换出大量的 USDT;3. 用户调用 ValueMultiVaultBank 合约 的 deposit 合约使用第 2 步中小部分的 DAI 进行充值,ValueMultiVaultBank 合约中一共有 3 种资产,分别是 3CRV、bCRV、和 cCRV。ValueMultiVaultBank 合约在铸币的时候会将合约中的 bCRV、cCRV 转换成以 3CRV 进行计价,转化的途径为 bCRV/cCRV -> USDC -> 3CRV。其中 USDC -> 3CRV 使用的是 DAI/USDC/USD 池中 USDC/3CRV 的价格。转换完成后,Value DeFi 合约根据合约中总的 3CRV 的价值和攻击者充值的 DAI 数量计算 mVUSD 铸币的数量;4. 攻击者在 Curve DAI/USDC/USDT 池先使用第二步中剩余的大部分 DAI 和 USDT 兑换 USDC,拉高 DAI/USDC/USDT 池中的 USDC/3CRV 的价格;5. 攻击者在 ValueMultiVaultBank 合约中发起 3CRV 提现,此时 ValueMultiVaultBank 合约和第 3 步一样,会先将合约中的 bCRV、cCRV 转换成以 3CRV 计价,由于在第 4 步中,USDC/3CRV 的价格已经被拉高,导致换算的过程中,ValueMultiVaultBank 合约中的 bCRV, cCRV 能换算成更多的 3CRV,也就是说使用同等份额的 mVUSD 可以换取更多的 3CRV;6. 拿到 3CRV 后,攻击者到 Curve 的 DAI/USDC/USDT 池中使用 3CRV 换回 DAI,并在 Uniswap 中兑换回 ETH,然后归还 Aave 的闪电贷 。总结:由于 Value DeFi 合约在铸币过程中将合约资产转换成 3CRV 时依赖 Curve DAI/USDC/USDT 池 中 USDC/3CRV 的价格,导致攻击者可以通过操控 Curve DAI/USDC/USDT 池 中 USDC/3CRV 的价格来操控 mVUSD/3CRV 的价值,从而获利。

慢雾:警惕 Tampermonkey 扩展的恶意 JavaScript 插件劫持盗币攻击

链闻消息,据慢雾区情报反馈,有人在 LocalBitcoins 进行交易时,被诱骗使用了一段所谓增强的 JavaScript 插件导致被盗比特币,该 JavaScript 插件可以在浏览器知名扩展 Tampermonkey (油猴)上方便使用。一旦使用,该恶意 JavaScript 即可篡改用户在 LocalBitcoins 上的比特币地址,达到劫持盗币攻击的目的。这段恶意 JavaScript 代码进行了多层加密与加花处理,肉眼看不出恶意行为,通过 xssor.io 进行解密后可以清晰看到「劫持盗币」的核心代码:document[_0x66e1x6("0x0")]("bitcoin-address bitcoin-address-controls")[0]["innerHTML"] = "1Ak8db781gfM3QutGwFsKuZg7YeUEoCvPw。

DeFi 借贷平台 ForTube 已通过慢雾科技的安全审计

链闻消息,慢雾安全团队宣布完成对 DeFi 借贷平台 ForTube 的安全审计。慢雾表示,经过严密的审计,我们认为 ForTube 业务逻辑清晰、代码实现规范,结构设计严谨,符合我们的各项安全审计标准,审计过程发现的几个安全问题,在和 ForTube 团队沟通后已协助修复。ForTube 是原力协议推出的 DeFi 借贷平台,致力于为全球的数字货币爱好者提供去中心化的数字货币借贷服务。

慢雾:EOS RAM 挖矿项目「珊瑚」疑似遭受黑客攻击

链闻消息,区块链安全公司慢雾发布预警,称 EOS RAM 挖矿项目「珊瑚」疑似遭遇黑客攻击,黑客使用 felixcosignr 代付 cpu。截至发稿前,项目方呼吁暂停挖矿,项目方账号 eoswramtoken 倡议发起多签提案,目前正在进行中。 慢雾安全团队提醒,请勿继续将资金发送到该项目进行挖矿。同时,由于 DeFi 项目的火热,投资者在参与 EOS DeFi 项目时应注意相关风险,尽可能选择有安全审计公司审计过的项目,并注意项目方权限是否为多签,由于 EOS 本身的特性,非多签的 EOS 合约账号存在不安全因素。

慢雾提醒:EOS DeFi 挖矿项目 EMD 疑似跑路

链闻消息,据慢雾区情报,EOS 项目 EMD 疑似跑路。截至目前,项目合约 emeraldmine1 已向账号 sji111111111 转移 78 万 USDT、49 万 EOS 及 5.6 万 DFS,并有 12.1 万 EOS 已经转移到 changenow 洗币平台。据主网部署记录显示,该项目在发布后曾对合约进行升级。 慢雾安全团队提醒,请勿继续将资金发送到该项目。同时,由于 DeFi 项目的火热,投资者在参与 EOS DeFi 项目时应注意相关风险,尽可能选择有安全审计公司审计过的项目,并注意项目方权限是否为多签,由于 EOS 本身的特性,非多签的 EOS 合约账号可转移合约内的资金。

慢雾余弦:SushiSwap 仿盘项目 KIMCHI 项目方权限过大可任意铸币

链闻消息,据慢雾余弦分析,SushiSwap 仿盘项目 KIMCHI (泡菜) 项目方确实拥有任意铸币的权限,只是如果项目方要任意铸币,至少需要等待 2 天时间。对接泡菜的平台可以观测泡菜厨师的 devaddr 地址是否变更为泡菜厨师的当前 owner 地址。

DeFi 借贷平台 ForTube 2.0 将于 9 月初上线,支持 YFI、NEST、LEND 等资产

链闻消息,DeFi 借贷平台 ForTube 2.0 将于 9 月初上线,多项核心功能将升级,包括支持 YFI、NEST、LEND 等热门数字资产,升级算法和账本结构,Gas 费用将大幅度降低。ForTube 2.0 采用独创的链下审计系统,可对合约资产进行 7x24 不间断审计 ,全方位保护用户资产安全。同时,使用业内领先的安全可升级的系统架构,可在去中心化治理的管理体系下对各系统模块进行灵活升级,以实现功能迭代和安全更新,极大地提升了产品的使用体验和可维护性。在安全性方面,团队聘请了慢雾、CertiK、派盾等为 ForTube 提供代码审计服务。ForTube 2.0 还将采用全新的挖矿模式,包括净资产挖矿等,实现用户预期收益的最大化 。此外,ForTube 2.0 将开启优质资产投票上币,以及 FOR 的 Staking 功能,更好的推动 FOR 的应用场景落地和价值赋能。
·

MXC 抹茶入驻慢雾区,平台安全风控等级再提升

MXC 抹茶正式入驻慢雾区,发布「安全漏洞与威胁情报赏金计划」

慢雾分析:Opyn 合约攻击者可以任意重置已创建 vault 地址来通过检查

链闻消息,慢雾安全团队表示,在其中一笔 Opyn 合约的攻击中,攻击者仅使用 272ETH 最终得到 467 ETH。完整的攻击流程如下:攻击者使用合约先启动 Opyn 合约的 reateERC20CollateralOption 函数创建 oToken。合攻击约调用运动函数,传入已创建库的地址。通过 exercise 函数中用于循环逻辑执行调用两次 _exercise 函数。exercise 函数调用 transferCollateral 函数将 USDC 转给函数调用者(用于循环调用两次 _exercise 函数,transferCollateral 函数也将执行两次)。攻击合约调用 removeUnderlying 函数将预先定义的 ETH 转出。最终攻击者拿回了战斗补充的 ETH 以及额外的 USDC。此次攻击主要是利用了 _exercise 函数中对 vaultToExerciseFrom 是否创建了 vault 的检查缺陷。此检查未纠正 vaultToExerciseFrom 是否是由参与者自己,而只是简单的检查是否创建了 vault,导致攻击者可以任意重置已创建 vault 的地址来通过检查。

慢雾:警惕针对数字货币交易所用户的鱼叉式钓鱼攻击

链闻消息,近日,慢雾安全团队收到情报,有专业黑产团队针对交易所用户进行大规模邮件批量撒网钓鱼攻击。慢雾安全团队分析发现,攻击者针对 macOS / Windows 系统都给出了下载链接,执行文件后会有一系列恶意操作,如上传本地系统用户信息、窃取 Electrum 钱包中的敏感信息等。针对这类钓鱼攻击,慢雾安全团队建议:1)认清官方邮箱后缀;2)谨慎对待未知来源邮件里的链接与附件;3)怀疑一切以“「升级”」、「账号异常」等理由的邮件;4)对于需要处理但可疑的邮件内容,需及时咨询专业人员。
·

慢雾:技术分析针对交易所用户的伪 Electrum 鱼叉钓鱼攻击

慢雾建议用户认清官方邮箱后缀,谨慎对待未知来源邮件里的链接与附件。
慢雾:技术分析针对交易所用户的伪 Electrum 鱼叉钓鱼攻击

慢雾再次红色提醒:发现 ETH 新型假充值的新攻击手法

昨日慢雾安全团队首发了 ETH 新型假充值攻击 revert 的手法,慢雾安全团队持续进行深入地研究,发现了利用 Out of gas 的攻击手法。慢雾安全团队建议:如没有把握成功修复可先临时暂停来自合约地址的充值请求。针对使用合约进行 ETH 假充值时,除了 revert 和 Out of gas 的手法外,不排除未来有新的手法,慢雾安全团队会持续保持关注和研究。同时需要注意,类以太坊的公链币种也可能存在类似的风险,请警惕。

慢雾红色提醒:交易所或钱包对接以太坊可能存在新型假充值漏洞攻击

经慢雾安全团队真实测试,针对智能合约形态的 ETH 充值,有些交易所或钱包存在这个假充值漏洞风险,此攻击手法不同于现有的任何一种攻击手法,目前暂未有统一的解决方案。交易所或钱包可邮件联系慢雾安全团队进行完整的测试,检测是否存在此类问题,以免遭遇重大损失。
·

慢雾:回溯协助 Lendf.Me 追踪黑客全程

去中心化借贷协议 Lendf.Me 遭攻击,慢雾还原其协助分析黑客攻击过程,追踪资产动向时间线。
慢雾:回溯协助 Lendf.Me 追踪黑客全程

PoolTogether 已移除 ERC-777 标准代币 plDai

链闻消息,以太坊「无损彩票」平台 PoolTogether 宣布已移除 ERC-777 标准的代币 plDai,之前这是为第三方的开发人员提供的小型资金池,仅涉及约 480 个 plDai。ERC-777 是前两日 Uniswap 和 Lendf.me 被攻击的 imBTC 的代币标准,其他平台也可能存在相关漏洞被攻击。而慢雾余弦则表示,「拿掉也不是彻底解决方案,他们自己的代码也往 ERC-777 去兼容实现,所以自己的代码还得加强下。」

慢雾:Lendf.Me 攻击者归还 126,014 枚 PAX

链闻消息,慢雾安全团队从链上数据监测到,Lendf.Me 攻击者 (0xa9bf70a420d364e923c74448d9d817d3f2a77822) 刚向 Lendf.Me 平台 admin 账户 (0xa6a6783828ab3e4a9db54302bc01c4ca73f17efb) 转账 126,014 枚 PAX,并附言 「Better future」。随后 Lendf.Me 平台 admin 账户通过 memo 回复攻击者并带上联系邮箱。此外,Lendf.Me 攻击者钱包地址收到一些受害用户通过 memo 求助。

慢雾:Lendf.Me 攻击者持续将获利的 PAX 进行转出,总额近 58.7 万枚 PAX

据慢雾科技反洗钱 (AML)系统监测显示,Lendf.Me 攻击者(0xa9bf70a420d364e923c74448d9d817d3f2a77822 )正持续不断将攻击获利的 PAX 转出兑换 ETH,使用的兑换平台包括 1inch.exchange、ParaSwap 等。慢雾安全团队在此提醒交易所、钱包注意加强地址监控,避免相关恶意资金流入平台。
·

慢雾科技与 HBTC 霍比特交易所达成安全战略合作

慢雾与 HBTC 霍比特交易所(原 BHEX)将在底层公链安全研究、链上数据分析、威胁情报同步、OTC 反洗钱 (AML) 等领域展开合作。
慢雾科技与 HBTC 霍比特交易所达成安全战略合作

慢雾:警惕微软 SMBv3 Client/Server 远程代码执行漏洞

据慢雾区情报,3 月 11 日,国外安全公司发布了一个近期微软安全补丁包所涉及漏洞的综述,其中一个威胁等级被标记为 Critical 的 SMB 服务远程代码执行漏洞(CVE-2020-0796),攻击者可能利用此漏洞获取机器的完全控制。2020 年 3 月 12 日微软发布了相应的安全补丁,强烈建议用户立即安装补丁。3 月 30 日公开渠道出现利用此漏洞的本地提权利用代码,慢雾安全团队验证可用,本地攻击者可以利用漏洞从普通用户权限提升到系统权限。目前鉴于漏洞发展趋势来看,慢雾安全团队不排除执行任意代码的可能性,由于漏洞无需用户验证的特性,可能导致类似 WannaCry 一样蠕虫式的传播;慢雾安全团队提醒币圈平台及个人用户请注意自身资金安全,尽快升级。

慢雾:警惕多种 Omni USDT 双花攻击

OmniCore 团队宣布修复一个重大安全漏洞,由于节点在收到新区块时没有处理好并发锁问题,攻击者可通过发送特殊构造的区块,导致一次交易多次记账,使得账户余额出错。而在此前,慢雾安全团队捕获了一起针对交易所的 USDT 假充值攻击事件,经分析发现,由于部分交易所使用了旧版本的 omnicore 客户端(如 0.5.0),黑客使用精心构造的转账交易,可以在旧版本的客户端上标记为转账成功,而在新版本的客户端上显示为失败,从而达到假充值的目的。慢雾安全团队提醒相关节点运营方,利用未升级的节点来发起双花攻击是一种常见的黑客攻击方法,尤其是在 OmniLayer 等二层网络应用上,此类攻击并不会导致主链分叉,不容易被发现,应十分警惕,及时升级节点至最新版本(0.8.0)。
返回页面顶部
返回链闻首页