Skyward Finance遭遇漏洞利用损失约300万美元

金色财经报道，据Dapprader数据显示，2023年1月漏洞利用等区块链攻击事件减少到了11起，造成总损失1460万美元。漏洞利用攻击大多发生在BNB Chain上，记录在案的黑客事件有四起，其中最大的漏洞利用攻击发生在Heco网络上的LendHub借贷协议上，造成约600万美元的损失，该漏洞存在于lBSV合约复制中，允许攻击者将资金存入旧版本并从新市场借款，通过利用铸币和赎回流程将被盗资产转移到以太坊和Optimism等其他区块链。 第二大漏洞利用攻击是Arbitrum网络上的GMX协议，造成280万美元的损失。与往年相比， 2023 年1月因黑客链上攻击造成的损失金额相对较低，也标志着区块链安全正在逐渐向好。

金色财经报道，基于Avalanche的DeFi协议Defrost Finance否认1200万美元的漏洞利用是内部“Rug Pull”。区块链安全公司DeFiYieldSec此前分析称，此次漏洞利用是团队内部人员所致，因为Defrost Finance多重签名钱包的创建者与在漏洞利用发生前要求更换oracle的地址相同。Defrost Finance坚决否认这些说法，称它们是“诽谤和不准确的”，并表示它在向黑客提供赏金后于12月26日收回了所有被盗资金，所有受影响的用户都将得到补偿。

金色财经报道，PeckShield监测，Defrost_Finance被利用，导致黑客获得约173,000美元的收益。由于 flashloan()/deposit() 函数缺少可重入锁，因此黑客攻击成为可能，黑客使用该函数在不偿还的情况下借出所有 USDC。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

金色财经消息，据派盾检测数据显示，隐私项目 ShadowFi 遭遇黑客攻击，其官方 Token SDF 下跌 98.5%。攻击者利用 SDF 的漏洞允许任何人烧毁 Token，获利约 1078 枚 BNB（约合 30 万美元），目前被盗资金已被转入 TornadoCash。

金色财经报道，Algorand网络的钱包供应商MyAlgo已经警告其用户，一黑客利用漏洞盗取920万美元，MyAlgo表示，由于我们仍然不知道最近黑客攻击的根本原因，我们鼓励每个人采取预防措施来保护他们的资产。