北京时间2022年7月17日，CertiK安全团队监测到知名NFT平台PremintNFT官网被入侵后于今日遭受黑客攻击。导致了约37.5万美元的损失。
漏洞分析
黑客将恶意JavaScript代码上传至项目官网https://premint.xyz，恶意代码通过URL注入网站：https://s3-redwood-labs-premint-xyzcom/cdn.min.js?v=1658046560357，目前域名服务器不再存在，因此恶意文件不再可用。
该攻击导致用户在将他们的钱包连接到该网站时会被指示"全部批准"，从而使得攻击者可访问钱包中的资产。
CertiK获SUI颁发50万美元漏洞赏金:金色财经报道，全球区块链和智能合约安全团队CertiK因发现一种新型安全威胁而被SUI授予50万美元赏金。该威胁被命名为“HamsterWheel（仓鼠轮）”，并有可能破坏SUI整个Layer 1网络。
在主网启动前，CertiK向SUI报告了这一关键漏洞，并得到了SUI的确认与反馈。认识到情况的严重性后，SUI迅速实施了安全解决方案以缓释这种攻击的潜在威胁。目前SUI已推出修复措施用以确保其网络安全。
SUI为了感谢CertiK，SUI支付了50万美元用来奖励这一关键性的发现。关于HamsterWheel攻击的技术细节和对Layer 1更深层次的影响将会随后披露给公众。[2023/6/19 21:47:41]
链上分析
Certik：2021年DeFi项目因黑客攻击损失金额达13亿美元:金色财经报道，安全公司Certik 在其首份“DeFi 安全状况”研究报告中表示，2021 年，去中心化金融 (DeFi)项目因黑客攻击损失金额增加了一倍多，达到 13 亿美元。虽然损失的价值攀升了 160%，但由于 DeFi 市场的增长，损失在总额中的比例低于 2020 年。（coindesk）[2022/1/13 8:47:21]
有六个外部拥有账户(EOAs)与此次攻击直接相关
0x28733...
0x0C979...
MDEX去中心化交易协议完成Certik全方位安全审计:据MDEX官方消息称，目前已通过区块链审计公司Certik进行的全方位安全审计，各项审计指标均优异，无任何环节需要代码更新，审计报告将添加到官方GitHub存储库。详情见原文链接。[2021/3/25 19:18:30]
0x4eD07...
0x4499b...
0x99AeB...
0xAAb00...
根据CertiK的评估，此次攻击开始于北京时间7月17日下午03:25，即为第一批被盗的NFT进入两个黑客账户的时间——恶意代码也许正是此时被上传至项目官网的。
一位用户声称2个GoblintownNFTs被盗
在OpenSea上搜索这两个NFT，可以看到它们是如何交易的。同样，也可以通过搜索找到窃取NFT的钱包——EOA0x0C979…
通过监测NFT的流动，我们发现该钱包完美符合Discord网络钓鱼攻击的典型模式：大量资产流入，随后被迅速抛售。该钱包的第一笔入账交易来自0xAAb00F……，其也为0x28733……提供了资金。
重复上述检测，可以确认0x28733……也参与了黑客攻击。
一名受害者发帖称，他们的MoonbirdsOddities被盗
在Etherscan搜索用户名称，显示MoonbirdNFT被交易至EOA0x28733……
该地址的流动模式与EOA0x0C979…相同——大量资产流入，随后被迅速抛售。
这两个钱包地址共计盗取了包括BAYC、Otherside、Globlintownm在内的314个NFT，
针对这次攻击，Premint的推特账户发布了一个警告：不要签署“全部批准”的交易，并指示那些怀疑自己被黑客攻击的用户如何联系revoke.cash来取回他们的资产。
目前幸运的是其中两个外部账户似乎已经被发现。受害者正在联系revoke.cash以取回他们的资金。
资产去向
272ETH(价值约37万美元)目前存储于：https://etherscan.io/address/0x99aeb028e43f102c5776f6b652952be540826bf4。
其余2.68ETH存储于：https://etherscan.io/address/0xaab00f612d7ded169e51cf0142d48ff560f281f3?
此次攻击事件的部分黑客交易尚在等待处理中。
写在最后
TheBoredApeYachtClubNFT(BAYC)网络钓鱼攻击事件及NFT艺术家Beeple的Twitter账户被盗事件已充分说明了Web2.0在中心化问题上的脆弱性。
为了避免这种情况的发生，Web3.0项目应该始终围绕中心化风险和单点故障建立去中心化措施——多重签名、要求多个用户在访问特权账户时进行身份验证，并在每次交互后撤销特权。
标签：NFTCERERTCERTI will poop it NFTDEFILANCER币Everton Fan Tokencertik
比特币试图筑底的尝试吸引了山寨币交易者将注意力集中在ETH、MATIC、FTT和ETC上。美国股市上周从周内低点回升,表明需求处于较低水平。同样,比特币上周也从18,910美元回升,这表明交易者可能正在重新投入风险资产.
1900/1/1 0:00:00尊敬的XT.COM用戶：因LOOP-LRC錢包升級維護,XT.COM現已暫停LOOP-LRC提現業務.
1900/1/1 0:00:00更专注一级市场、公募、二级市场潜力币推荐,项目孵化的探究、暴涨山寨币,优质币种的挑选和做到更专业,提供海内外一级市场优质项目----区块链阿生 所有平台均为 欢迎在Celo区块链上发布Uniswapv3和绿色资产池.
1900/1/1 0:00:00美国ETF进入新时代 在经历了残酷的价格战之后,美国的指数ETF费率已经降至历史最低水平,而单股ETF的出现为发行机构开辟了一条利润丰厚的渠道,追踪大公司的单股ETF也成为了大热门,目前至少还有85只类似ETF正计划发行.
1900/1/1 0:00:00Uniswap今日宣布已在公链Celo上部属V3合约,是Uniswap第五个部属V3的公链,同时也称将带来气候友善的再生代币经济,Celo官方首批已经于链上建立碳信用代币MC02相关流动性,盼使林业与相关产业减少森林砍伐.
1900/1/1 0:00:00DearValuedUsers,CandyDropislaunchingQOMonJuly16,2022.Registrationperiod:?QOM:11:00(UTC)July16,2022–15:00(UTC)July18.
1900/1/1 0:00:00
宇宙链