安全机构：黑客攻击EthereumPow链获利200 ETHW

9月16日，据官方公告显示，欧易DEX现已支持ETHW链ETHW-USDC、ETHW-WETH等代币交易，用户可通过欧易Web3钱包进行ETHW全链资产交易。 据了解，欧易OKX DEX为首个支持ETHW的聚合Swap，拥有智能路由拆单算法X Routing，可以智能选择ETHW链最佳流动性，避免因单一DEX流动性不足而导致交易滑点较大。同时OKX DEX聚合10+公链、100+DEX，支持10万+币种，帮助用户在多链、跨链场景获得最优价格，最低滑点，最低Gas。

9月20日消息，据官方推特，以太坊分叉项目EthereumPoW宣布推出跨链桥ETHW Bridge，支持ETHW与以太坊网络之间的ETH、USDT和USDC桥接。

9月15日消息，FTX 已上线 EthereumPoW (ETHW) 现货市场，包含 ETHW/USD 交易对。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

10月19日消息，据Beosin EagleEye Web3安全预警与监控平台监测显示，Celo上的Moola协议遭受攻击，黑客获利约900万美元。Beosin安全团队第一时间对事件进行了分析，结果如下： 第一步：攻击者进行了多笔交易，用CELO买入MOO,攻击者起始资金（182000枚CELO）. 第二步：攻击者使用MOO作为抵押品借出CELO。根据抵押借贷的常见逻辑，攻击者抵押了价值a的MOO，可借出价值b的CELO。 第三步：攻击者用贷出的CELO购买MOO，从而继续提高MOO的价格。每次交换之后，Moo对应CELO的价格变高。 第四步：由于抵押借贷合约在借出时会使用交易对中的实时价格进行判断，导致用户之前的借贷数量，并未达到价值b，所以用户可以继续借出CELO。通过不断重复这个过程，攻击者把MOO的价格从0.02 CELO提高到0.73 CELO。 第五步：攻击者进行了累计4次抵押MOO，10次swap（CELO换MOO），28次借贷，达到获利过程。 本次遭受攻击的抵押借贷实现合约并未开源，根据攻击特征可以猜测攻击属于价格操纵攻击。截止发文时，通过Beosin Trace追踪发现攻击者将约93.1%的所得资金 返还给了Moola Market项目方，将50万CELO 捐给了impact market。自己留下了总计65万个CELO作为赏金。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示， AES项目遭受攻击，Beosin安全团队分析发现由于AES-USDT pair合约有一个skim函数，该函数可以强制平衡pair的供应量，将多余资金发送给指定地址，而攻击者在本次攻击过程中，首先向pair里面直接转入了部分AES代币，导致供应量不平衡，从而攻击者调用skim函数时，会将多余的这部分代币转到攻击者指定地址，而攻击者在此处指定了pair合约为接收地址，使得多余的AES又发送到了pair合约，导致强制平衡之后pair合约依然处于不平衡状态，攻击者便可重复调用强制平衡函数。另外一点，当调用AES代币合约的transfer函数时，若发送者为合约设置的pair合约时，会将一部分AES销毁掉（相当于通缩代币），攻击者经过反复的强制平衡操作，将pair里面的AES销毁得非常少，导致攻击者利用少量AES兑换了大量的USDT。 目前获利资金已转移到攻击者地址(0x85214763f8eC06213Ef971ae29a21B613C4e8E05) ，约获利约61,608美元。Beosin Trace将持续对被盗资金进行监控。