BONKbot：存在生态系统中被触发的漏洞，未导出私钥的用户资金安全

金色财经报道，Coinbase NFT 在社交媒体上发文称，Web3 开发工具平台 Thirdweb 已通知 Coinbase 团队其存在的安全漏洞，影响到使用 Thirdweb 创建的部分 Coinbase NFT。Coinbase 平台未遭遇攻击，用户资金仍然安全。

据慢雾区消息，受 Mina JavaScript client-sdk v1.0.1 之前版本的弱熵问题影响，目前社区已有多人反馈钱包私钥被窃取，慢雾安全团队经过调查发现：使用 Clorio Wallet v0.1.1，Clorio Wallet v0.1.0 版本创建的钱包将存在被盗风险。 建议有使用 Clorio Wallet v0.1.1，Clorio Wallet v0.1.0(2021 年 5 月 28 日)创建钱包的用户确保将钱包更新到最新版本(Clorio Wallet v1.0.0)，并且重新创建新的钱包地址，将资金转移到新创建的钱包地址上以保证资产安全。 存在漏洞的钱包版本：Clorio Wallet < v0.1.2 存在漏洞的 client-sdk 版本：o1labs/client-sdk < 1.0.1。

金色财经报道，Munchables在社交媒体上对其此前发布的共享私钥公告进一步解释称，共享私钥是为了协助安全人员追回用户资金。具体来说，是包含持有62,535,441.24美元加密资产的私钥、持有73 WETH 的私钥以及包含其余资金的所有者私钥。

8月26日消息，据社群消息，今日已有多位加密社区成员反映其私钥被盗，有猜测称该情况因使用比特指纹浏览器所致。对此，比特指纹浏览器官方在社群中表示，WPS For Windows部分版本存在远程代码执行漏洞，攻击者可利用该漏洞在受害者目标主机上执行任意代码，控制主机等。目前已知的影响版本包括WPS Office 2023个人版低于12.1.0.15120（含）、WPS Office机构版本（如专业版、专业增强版）低于11.8.2.12055（含）。漏洞较好触发，用户在点击不明链接后可能已遭到黑客攻击。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

金色财经报道，Lido Finance在X平台上称，5月14日，Lido DAO的贡献者了解到一个安全漏洞，该漏洞影响了使用以太坊协议 (Numic) 上的Lido的活跃节点运营商。该事件已得到解决，并没有导致验证器操作受到影响或任何资金损失（例如，这种情况只能通过恶意削减而发生）。作为预防措施，与节点运营商相关的密钥已自动退出并循环回到协议中。