安全团队：7月份Web3因漏洞、黑客攻击及诈骗造成的损失约6488万美元

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

金色财经报道，据CertiK监测，FriesDAO于今日遭到攻击，损失约230万美元，起因是攻击者获得了该协议操作者钱包的控制权——似乎是由于Profanity钱包生成器的漏洞导致的，这一漏洞会令通过该工具生成地址的私钥被强制使用。 1.在获得对操作者钱包的访问权后，攻击者从DAO的资金钱包中提取了$FRIES，并将其于Uniswap上以wETH的价格出售。 2.攻击者使用只能由操作员地址调用的函数governanceRecoverUnsupported（）从抵押池中提取资金。 3.攻击者最终将所有资金转换为DAI。 截至撰写本文时，存储被盗资金的钱包价值约为232.5万美元。 FriesDAO在官方Discord频道中确认了这次攻击，指出钱包地址确实是用Profanity生成的。 目前官方开发人员试图与攻击者进行谈判，协商用白帽赏金来换取被盗资金的归还。 这次攻击本可以被预防，因为Profanity漏洞作为做市商Wintermute被盗超过1.6亿美元攻击事件的罪魁祸首，已经被公开了一个多月了。 CertiK呼吁所有使用过Profanity工具的Web3.0项目立即将受影响钱包中所有资产的控制权转移到安全生成的地址。

1月3日消息，安全公司 Dedaub 团队宣布获得 Uniswap Labs 的 4 万枚 USDC 安全漏洞赏金，因为其披露 Uniswap 的一个严重漏洞，该漏洞有重入并耗尽用户的资金的可能性。不过，Uniswap 团队已解决该漏洞并在所有链上重新部署了 Universal Router 智能合约，资金是安全的。 Uniswap 在 2022 年 11 月份发布通用路由器Universal Router智能合约，可将 ERC20 和 NFT 兑换统一到一个交换路由器中，用户可以执行异构操作，例如，在一笔交易中交换多个 Token 和 NFT。 Dedaub 表示，该路由器为各种 Token 操作嵌入了脚本语言，此类命令可能包括向第三方（可能不受信任的）接收人的传输。如果在传输过程中的任何时候调用第三方代码，该代码可以重新进入 UniversalRouter 并在合约中临时认领任何 Token。Dedaub 建议 Uniswap 为新路由器的核心执行添加一个重入锁，并重新部署。

金色财经消息，据CertiK监测，Sheep Farm Game项目因合约内漏洞遭到攻击，损失总计约262枚 BNB，价值约7.2万美元。 BSC地址: 0x4726010da871f4b57b5031E3EA48Bde961F122aA

金色财经报道，据Dapprader数据显示，2023年1月漏洞利用等区块链攻击事件减少到了11起，造成总损失1460万美元。漏洞利用攻击大多发生在BNB Chain上，记录在案的黑客事件有四起，其中最大的漏洞利用攻击发生在Heco网络上的LendHub借贷协议上，造成约600万美元的损失，该漏洞存在于lBSV合约复制中，允许攻击者将资金存入旧版本并从新市场借款，通过利用铸币和赎回流程将被盗资产转移到以太坊和Optimism等其他区块链。 第二大漏洞利用攻击是Arbitrum网络上的GMX协议，造成280万美元的损失。与往年相比， 2023 年1月因黑客链上攻击造成的损失金额相对较低，也标志着区块链安全正在逐渐向好。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，SushiSwap项目疑似被攻击，损失约1800ETH，约334万美元，Beosin安全团队正在对本次事件进行分析。