安全团队：BNBChain上DAO Officials项目遭受攻击事件分析

金色财经消息，派盾（PeckShield）监测显示，BNBChain上聚合DAO社区DAO Officials疑似被攻击，此外链上数据显示攻击者或获利逾50万美元。

金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，ETH链上的PEAKDEFI项目遭受攻击，攻击者利用合约中sellLeftoverToken()函数未进行权限校验。导致黑客合约中转走29832 BAT，5083 SUSHI，32508 matic，831 link，总价值66659美元。

据Beosin EagleEye平台监测显示，DPC代币合约遭受黑客攻击，损失约103,755美元。Beosin安全团队分析发现攻击者首先利用DPC代币合约中的tokenAirdop函数为满足领取奖励条件做准备，然后攻击者使用USDT兑换DPC代币再添加流动性获得LP代币，再抵押LP代币在代币合约中。前面的准备，是为了满足领奖条件。然后攻击者反复调用DPC代币中的claimStakeLp函数反复领取奖励。因为在getClaimQuota函数中的” ClaimQuota = ClaimQuota.add(oldClaimQuota[addr]);”，导致奖励可以一直累积。最后攻击者调用DPC合约中claimDpcAirdrop 函数提取出奖励（DPC代币），换成Udst离场。目前被盗资金还存放在攻击者地址，Beosin安全团队将持续跟踪。

金色财经消息，据Beosin EagleEye平台监测显示，KyberSwap项目遭受前端攻击。攻击者在KyberSwap上注入了恶意的谷歌标签管理器(GTM)，用户在进行swap时，攻击者会让用户授权到恶意地址(0x57a7...f80)，攻击者地址:0x57a72ce4fd69ebedefc1a938b690fbf11a7dff80(ETH)，资金损失265392-amUSDC(约26万美元):0xfd6F294F3c9e117ddE30495770BA9b073c33b065(polygon),目前获利资金存放于攻击者地址上。

金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，BNB链上的sDAO项目遭受漏洞攻击，Beosin分析发现由于sDAO合约的业务逻辑错误导致，getReward函数是根据合约拥有的LP代币和用户添加的LP代币作为参数来计算的，计算的奖励与用户添加LP代币数量正相关，与合约拥有总LP代币数量负相关，但合约提供了一个withdrawTeam的方法，可以将合约拥有的BNB以及指定代币全部发送给合约指定地址，该函数任何人都可调用。而本次攻击者向其中添加了LP代币之后，调用withdrawTeam函数将LP代币全部发送给了指定地址，并立刻又向合约转了一个极小数量的LP代币，导致攻击者在随后调用getReward获取奖励的时候，使用的合约拥有总LP代币数量是一个极小的值，使得奖励异常放大。最终攻击者通过该漏洞获得的奖励兑换为13662枚USD离场。Beosin Trace追踪发现被盗金额仍在攻击者账户，将持续关注资金走向。

8月31日消息，据Beosin EagleEye平台监测显示，BSC链上Cupid代币合约遭受闪电贷攻击，Beosin安全团队分析发现，Cupid合约0x40c994299fb4449ddf471d0634738ea79c734919有一个奖励的逻辑漏洞，拥有USDT/VENUS的LP代币可以得到Cupid代币，攻击者利用闪电贷贷出USDT，购买VENUS代币，抵押后得到LP代币，把LP发到多个地址后通过调用被攻击合约的0xe98bfe1e()函数claim得到Cupid代币，获得Cupid代币后抛售获利78,623 USDT。