安全团队：Solana生态钱包攻击事件损失预计达800万美元

金色财经消息，据安全团队成都链安监控数据显示，2022年7月，各类安全事件数量较6月有所下降。7月发生较典型安全事件超19起，其中攻击类安全事件损失总金额约2604.5万美元，较6月下降约89.5%，为2022年以来黑客攻击损失金额最低的一个月份。 7月，虽然攻击类事件和损失金额大幅降低，但本月诈骗跑路/加密骗局方面安全事件较6月大幅增加，且部分涉案金额超过了千万元，用户需多加注意，提高反诈意识。本月因合约漏洞利用造成的攻击事件占到了40%，项目上线前做好专业的安全审计工作依旧重要。此外，本月还有40%的攻击事件源自私钥泄露和钓鱼攻击。建议用户及项目方一定要保管好自己的私钥，时刻提高警惕，不要轻易点击来路不明的链接，谨防遭受钓鱼攻击。

金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，ETH链上的PEAKDEFI项目遭受攻击，攻击者利用合约中sellLeftoverToken()函数未进行权限校验。导致黑客合约中转走29832 BAT，5083 SUSHI，32508 matic，831 link，总价值66659美元。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2022年11月，各类安全事件数量和涉及金额较10月有所下降。11月发生较典型安全事件超18起，各类安全事件损失总金额约5亿1809万美元。 本月DeFi领域攻击事件较上月有所下降。11月最大的安全事件为FTX交易所申请破产后不久，某黑客窃取约4.4亿美元的资金，并持续向BTC链进行转移。本月诈骗跑路事件依旧高发，有项目方卷款超过千万美元。本月钱包安全事件和私钥泄露事件增多，Beosin安全团队建议项目方和用户都应注重钱包的安全性，保护好私钥，规范操作，不要点击来路不明的链接。本月80%的攻击事件源于合约漏洞利用，建议项目上线前寻求专业的公司进行安全审计。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，SushiSwap项目疑似被攻击，损失约1800ETH，约334万美元，Beosin安全团队正在对本次事件进行分析。

据成都链安“链必应-区块链安全态势感知平台”安全舆情监控数据显示，Reaper Farm项目遭到黑客攻击，成都链安安全团队发现由于_withdraw中owner地址可控且未作任何访问控制，导致调用withdraw或redeem函数可提取任意用户资产。攻击者(0x5636e55e4a72299a0f194c001841e2ce75bb527a)利用攻击合约(0x8162a5e187128565ace634e76fdd083cb04d0145)通过漏洞合约(0xcda5dea176f2df95082f4dadb96255bdb2bc7c7d)提取用户资金，累计获利62ETH，160万 DAI，约价值170万美元，目前攻击者(0x2c177d20B1b1d68Cc85D3215904A7BB6629Ca954)已通过跨链将所有获利资金转入Tornado.Cash，成都链安链必追平台将对被盗资金进行实时监控和追踪。