ForesightNews消息，据慢雾安全团队情报，2023年2月3日，OrionProtocol项目在以太坊和BNBChain链上的合约遭到攻击，攻击者获利约302.7万美元。慢雾安全团队以简讯的形式分享如下：1.攻击者首先调用ExchangeWithAtomic合约的depositAsset函数进行存款，存入0.5个USDC代币为下面的攻击作准备；2.攻击者闪电贷出284.47万枚USDT代币，接着调用ExchangeWithAtomic合约的doSwapThroughOrionPool函数兑换代币，兑换路径是；3.因为兑换出来的结果是通过兑换后ExchangeWithAtomic合约里的USDT代币余额减去兑换前该合约里的USDT代币余额，但问题就在将USDC兑换为ATK后，会调用ATK代币的转账函数，该函数由攻击恶意构造会通过攻击合约调用ExchangeWithAtomic合约的depositAsset函数来将闪电贷获得的284.4万USDT代币存入ExchangeWithAtomic合约中。此时攻击合约在ExchangeWithAtomic合约里的存款被成功记账为284.47万枚并且ExchangeWithAtomic合约里的USDT代币余额为568.9万枚，使得攻击者兑换出的USDT代币的数量被计算为兑换后的568.9万减去兑换前的284.47万等于284.47万；4.之后兑换后的USDT代币最后会通过调用库函数creditUserAssets来更新攻击合约在ExchangeWithAtomic合约里的使用的账本，导致攻击合约最终在ExchangeWithAtomic合约里USDT代币的存款记账为568.9万枚；5.最后攻击者调用ExchangeWithAtomic合约里的withdraw函数将USDT提取出来，归还闪电贷后将剩余的283.6万枚USDT代币换成WETH获利。攻击者利用一样的手法在BNBChain上的也发起了攻击，获利19.1万美元；此次攻击的根本原因在于合约兑换功能的函数没有做重入保护，并且兑换后再次更新账本存款的数值是根据兑换前后合约里的代币余额差值来计算的，导致攻击者利用假代币重入了存款函数获得超过预期的代币。
慢雾：跨链互操作协议Nomad桥攻击事件简析:金色财经消息，据慢雾区消息，跨链互操作协议Nomad桥遭受黑客攻击，导致资金被非预期的取出。慢雾安全团队分析如下：
1. 在Nomad的Replica合约中，用户可以通过send函数发起跨链交易，并在目标链上通过process函数进行执行。在进行process操作时会通过acceptableRoot检查用户提交的消息必须属于是可接受的根，其会在prove中被设置。因此用户必须提交有效的消息才可进行操作。
2. 项目方在进行Replica合约部署初始化时，先将可信根设置为0，随后又通过update函数对可信根设置为正常非0数据。Replica合约中会通过confirmAt映射保存可信根开始生效的时间以便在acceptableRoot中检查消息根是否有效。但在update新根时却并未将旧的根的confirmAt设置为0，这将导致虽然合约中可信根改变了但旧的根仍然在生效状态。
3. 因此攻击者可以直接构造任意消息，由于未经过prove因此此消息映射返回的根是0，而项目方由于在初始化时将0设置为可信根且其并未随着可信根的修改而失效，导致了攻击者任意构造的消息可以正常执行，从而窃取Nomad桥的资产。
综上，本次攻击是由于Nomad桥Replica合约在初始化时可信根被设置为0x0，且在进行可信根修改时并未将旧根失效，导致了攻击可以构造任意消息对桥进行资金窃取。[2022/8/2 2:52:59]
慢雾：Furucombo被盗资金发生异动，多次使用1inch进行兑换:据慢雾MistTrack，2月28日攻击Furucombo的黑客地址（0xb624E2...76B212）于今日发生异动。黑客通过1inch将342 GRO、69 cWBTC、1700万cUSDC兑换成282 ETH，并将147ETH从Compound转入到自己的地址，截至目前该黑客地址余额约170万美元，另一个黑客地址余额为约1200万美元。[2021/3/3 18:12:14]
声音 | 慢雾：Ghostscript存在多个漏洞:据慢雾区消息，Google Project Zero发布Ghostscript多个漏洞预警，远端攻击者可利用漏洞在目标系统执行任意代码及绕过安全限制。Ghostscript 9.26及更早版本都受影响。软件供应商已提供补丁程序。[2019/1/24]
标签：USDCHAWITHITHUSDGLO价格HalalChainDontPlaywithKittySuper Algorithmic Token
Gate.ioHodl&Earnplatformiscommittedtohelpingusersgainmoreprofits.Asofnow.
1900/1/1 0:00:00?比特币和部分山寨币,如ETH、OKB、ALGO和THETA,可能会在短暂调整后延续涨势。gz呺Web3团子在一月份令人印象深刻的反弹之后,比特币二月似乎要喘口气了。这是一个积极的迹象,因为垂直反弹很少能持续下去.
1900/1/1 0:00:001.关于非首发项目SuperpowerSquad(SQUAD)空投结果Gate.ioStartup非首发项目SuperpowerSquad代币SQUAD于Feb02nd,PM03:00开始下单,24小时内下单同等对待,总共有15.
1900/1/1 0:00:00简单来说CastleIslandVCNicCarter称2018年一篇详述2017年涉嫌操纵的论文的作者“太愚蠢”,因为他们暗示现在可能会发生同样的操纵。作者认为,比特币在近期反弹前的窄幅交易区间表明存在鲸鱼操纵行为.
1900/1/1 0:00:00近日,随着行情的回暖,元宇宙VR赛道大涨,元宇宙游戏Highstreet的代币HIGH从1月29日开始,最高涨幅超300%.
1900/1/1 0:00:00如果鲍威尔和美国联邦公开市场委员会发出即将暂停加息的信号,市场将做出积极反应,但鹰派立场可能会再次导致股市暴跌。 gz呺Web3团子 分析师建议,股市和加密货币在周二早盘保持上涨,因为市场押注央行选择放慢加息步伐,但投资者应保持谨慎.
1900/1/1 0:00:00
宇宙链