Rug Pull Finder NFT项目BadGuys免费铸造期间遭漏洞利用攻击

9月5日消息，专注于NFT领域风险的调查项目Rug Pull Finder自身的NFT合约漏洞被利用，其中两个地址在免费铸造阶段利用了该项目中的一个技术缺陷，从可能的1221枚NFT中窃取了450枚NFT，这些NFT原本限制为每个地址只能铸造一个。 团队在漏洞利用后不久向其中一名涉案人员提供交易，向他们支付2.5枚ETH的赏金以恢复330枚NFT，并被接受。（Cointelegraph）

金色财经报道，基于Avalanche的DeFi协议Defrost Finance否认1200万美元的漏洞利用是内部“Rug Pull”。区块链安全公司DeFiYieldSec此前分析称，此次漏洞利用是团队内部人员所致，因为Defrost Finance多重签名钱包的创建者与在漏洞利用发生前要求更换oracle的地址相同。Defrost Finance坚决否认这些说法，称它们是“诽谤和不准确的”，并表示它在向黑客提供赏金后于12月26日收回了所有被盗资金，所有受影响的用户都将得到补偿。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

10月11日消息，CNN已经宣布结束旗下的Web3项目并宣布“我们决定是时候与CNN的Vault NFT说再见了。” CNN的Vault NFT，于2021年夏天推出，旨在打造专属NFT市场，当时他们声称该平台将“为收藏家提供拥有一段历史的机会”，并将CNN的关键事件报道铸造成了NFT。但现在由于项目快速结束，导致许多用户不满，在Discord频道中，用户指责CNN此举是一种“Rug Pull”行为并声称将联系律师维权。 根据Discord中披露的消息，CNN表示将按照10月6日捕获的每个钱包中的NFT购买价格来补偿用户，不过由于相关NFT存储在分布式文件系统IPFS中，这意味着即使CNN的NFT网站消失，这些NFT也能继续可用。此外，Discord消息还告知相关NFT持有人，CNN计划“销毁”未出售的NFT，这将使他们持有的NFT变得更加稀有。（The Verge）

8月11日，成都链安鹰眼监测显示，Wuliangye NFT项目疑似Rug Pull，官网和社群已关闭。成都链安安全团队通过链必追-虚拟货币智能研判平台追踪发现，有595个地址购买了705个WLY NFT，项目方共获利70.5个ETH，接着将ETH交换为111316.22个USDT，最终转入0x28C6c06298d514Db089934071355E5743bf21d60地址（标记为Binance 14）。

8月11日消息，五粮液（Wuliangye）NFT项目疑似发生Rug Pull，目前官网与Discord社群已关闭。 此前8月5日五粮液NFT部署地址向Binance转入111,316枚USDT。