黑客超额完成KPI？受影响金额约1.2亿美元本周Web3安全事件回顾

作者：

时间：1900/1/1 0:00:00

有黑客用一千万“撬动”Solana 生态上亿资金，也有黑客铤而走险，薅起了交易所的羊毛，同时也有一些Web3项目遭遇私钥泄露、闪电贷攻击。

Beosin EagleEye Web3安全预警与监控平台监测显示，截止发稿时，本周共发生8起攻击类相关的安全事件，累计受影响金额约1.2亿美元，和Beosin安全团队一起来盘点一下吧。

10月9日

1. XaveFinance项目遭受黑客攻击，导致RNBW增发了1000倍

10月9日，XaveFinance项目遭受黑客攻击，导致RNBW增发了1000倍。本次攻击是攻击者通过调用DaoModule合约的executeProposalWithIndex()函数执行了攻击者的恶意提案，使得意外铸造了100,000,000,000,000个RNBW，并将ownership权限转移给攻击者。最后黑客将其兑换为xRNBW。

Metis：正与Poly Network取得联系，黑客新铸造巨额BNB没有流动性用于出售:7月2日消息，以太坊 Layer 2 网络 Metis 发布公告称，已经注意到 PolyBridge 正在发生的问题，并正在与 Poly Network 团队取得联系，以尽量减少攻击的影响并进一步评估情况。

此外，Metis 表示关于在 Metis 上新铸造的 BNB，没有可用的卖出流动性。Metis Andromeda 上的所有资金都是安全的。[2023/7/2 22:13:00]

2. Jumpnfinance项目发生Rugpull，涉及金额约115万美元

Jumpnfinance项目Rugpull。攻击者调用0xe156合约的0x6b1d9018()函数，提取了该合约中的用户资产，存放在攻击者地址上。目前被盗资金中2100 BNB ($581,700)已转入Tornado.Cash，剩余部分2058 BNB（$571,128）还存放在攻击者地址。

派盾：0xC994开头Nomad黑客地址已将约3785枚ETH转至中间地址并开始使用TornadoCash进行混币:8月2日消息，派盾监测显示，Nomad黑客地址之一0xC994...0cf599已将约1205枚ETH转移至中间地址0x7a98...dFa308，约2580枚ETH转移至中间地址0x8d5D...121124，并开始使用TornadoCash进行混币。[2022/8/2 2:52:57]

1. QANplatform跨链桥遭受黑客攻击，疑似项目方私钥泄露，涉及金额约189万美元

本次事件交易的发起地址是一个疑似项目方的地址，攻击者通过该地址调用跨链桥合约中的bridgeWithdraw函数提取QANX代币，然后把QANX代币兑换为相应平台币，目前被盗资金依然存放在攻击者地址上。

说唱歌手HiiiKey播客被黑，黑客伪造加密赠品窃取7万美元:说唱歌手HiiiKey证实YouTube频道遭黑客攻击，并被用来推广伪造的比特币和以太坊赠品，从不知情的用户那里窃取了超过7万美元。（Cointelegraph）[2021/1/7 16:40:23]

2. Rabby项目遭受黑客攻击，请用户取消对相应合约的授权

本次事件是因为RabbyRouter的_swap函数存在外部调用漏洞,导致任何人都可以通过调用该函数，将授权到该合约用户的资金转走。目前攻击者已在Ethereum，BSC链，polygon，avax，Fantom，optimistic，Arbitrum发起攻击，请用户取消对相应合约的授权。

动态 | 以色列当局逮捕两名加密货币的兄弟媒体称两者与2016年Bitfinex黑客攻击有关:据cryptoglobe援引以色列新闻机构Posta报道，以色列当局最近逮捕了两名涉嫌参与加密货币相关的网络钓鱼计划的兄弟，他们通过该计划成功赚取了数百万美元。虽然一些新闻媒体报道称，这对兄弟窃取加密货币的收入高达1亿美元，但金融新闻媒体financial Magnates联系了以色列，被告知这一数字要低得多，大约在“数千万美元”左右。据称，被捕的以色列人Eli Gigi和他的弟弟Assaf Gigi创建了与合法加密货币服务和企业(包括交易所)相同的虚假网站，诱使用户试图通过这些网站登录。以色列新闻媒体报道两者都与2016年Bitfinex黑客攻击有关，在那次黑客攻击中，约有12万比特币(当时价值超过7000万美元)从交易所被盗。当局补充说，此案正在“多个国家的网络警察部门”进行调查，目前尚不清楚这对兄弟是否有同谋。据说，多国行动的目标是帮助追回被盗资金。[2019/6/24]

3. TempleDAO项目遭受黑客攻击，涉及金额约236万美元

本次事件是因为StaxLPStaking合约中的migrateStake函数缺少权限校验，导致任何人都可以通过调用该函数提取合约中的StaxLP。攻击者攻击成功后，把获得的全部StaxLP代币兑换为了ETH。

1. Journey of awakening (ATK)项目遭受闪电贷攻击

本次事件攻击者通过闪电贷攻击的方式攻击了ATK项目的策略合约，从合约中获取了大量的ATK代币，之后攻击者把获得的全部ATK代币兑换为约12万美元的BSC-USD。

2. Solana 生态去中心化交易平台 Mango遭遇黑客攻击，影响高达 1.16 亿美元。

黑客使用了两个账户，一共1000万USDT起始资金。

第一步，攻击者向Mango市场存入了500万USDC。

第二步，攻击者在MNGO-ERP市场创建了一个4.83亿的PlacePerpOrder2头寸。

第三步，MNGO的价格被操纵，从0.0382美元到0.91美元，通过使用一个单独的账户（账户2）对其头寸进行对手交易。

账户2现在有4.83亿*(0.91-0.03298美元)=4.23亿美元，这使得攻击者可以借出1.16亿美元的资金。

1. FTX交易所遭到gas窃取攻击

FTX交易所遭到gas窃取攻击，黑客利用FTX支付的gas费用铸造了大量XEN TOKEN。本次事件攻击者通过FTX热钱包多次少量的提取以太坊，FTX热钱包地址会向攻击合约地址多次转入小额的资金，随后会调用到攻击合约的fallback()函数，通过该函数攻击者向Xen合约发起铸币请求。而Xen合约仅需传入一个时间期限，便可支持无成本铸币，只需支付交易Gas费，但在此次调用过程中，交易发起者为FTX热钱包地址，所以整个调用过程的gas都是由FTX热钱包地址所支付，而Xen铸币地址为攻击者地址，达到攻击的目的。