Beosin Trace：Velocore项目被黑，被盗资产超数十种代币

金色财经报道，据Beosin Trace追踪分析发现，此前DMM被盗500枚BTC（价值超3400万美元）在北京时间2024年6月12日晚上7点左右转入了两个新地址，其中一个地址保存了300BTC，另一个地址保存了200BTC。目前被盗资金还没有新的动向，提醒用户注意资金安全。Beosin KYT已将上述新的攻击地址加入黑地址标签库，并且将对其进行持续监控与告警。

金色财经报道，据Beosin EagleEye 安全预警与监控平台检测显示，Thoreum Finance项目被黑客攻击，涉及金额约为58万美元。由于ThoreumFinance项目方创建的未开源合约0x79fe的transfer函数疑似存在漏洞，当transfer函数的from和to地址相同时，由于使用临时变量存储余额，导致给自己转账时，余额会成倍增加，攻击者重复操作多次，最终获利2000BNB。 Beosin安全团队通过Beosin Trace进行追踪，发现被盗资金已全部转入tornado cash。

金色财经报道，据Beosin EagleEye 安全预警与监控平台检测显示，UVT项目被黑客攻击，涉及金额为150万美元。攻击交易为0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499 经Beosin安全团队分析，发现攻击者首先利用开发者部署的另一个合约的具有Controller权限的0xc81daf6e方法，该方法会调用被攻击合约的0x7e39d2f8方法，因为合约具有Controller权限，所以通过验证直接转走了被攻击合约的所有UVT代币，Beosin安全团队通过Beosin Trace进行追踪，发现被盗资金已全部转入Tornado Cash。

金色财经报道，据Beosin平台监测显示，Poloniex黑客攻击事件损失至少约1.14亿美元，Beosin Trace追踪发现其中包括32,766,696.57枚USDT（11,030,539.88来自ETH链，21,736,156.69来自TRON）、283.66 ETH（65.93来自ETH链，217.73来自TRON），86.50 WBTC（23.71640635来自ETH链，62.787338来自TRON）等，波场链被盗35种资产（含TRX），资金明细如下图所示。

金色财经报道，据Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，TIME代币遭受到攻击，黑客获利约18.8万美元。Beosin安全团队分析发现黑客通过合约漏洞，将TIME-ETH交易对中的TIME代币销毁，从而获利。其原因在于TIME代币的_msgSender()返回并非msg.sender，而是根据调用者进行选择，如果调用者为Forwarder合约，则返回调用者指定地址。同时，Forwarder合约存在任意外部调用功能，攻击者通过Forwarder合约调用TIME合约burn函数，并传入pair地址，最终销毁掉pair中TIME代币。

金色财经报道，据Beosin Alert监控预警发现印度交易所wazirx被攻击，攻击者获取到交易所多签钱包管理员的签名数据，修改钱包的逻辑合约，让钱包执行错误的逻辑，来盗取资产。 基于攻击者的攻击行为，推测原因为多签钱包的管理员私钥泄露，Beosin将攻击原因简析如下： 1、攻击者部署攻击合约，该合约的功能是提取本合约指定的代币资产 2、攻击者获取到wazirx多签钱包管理员的签名数据，将钱包的逻辑合约修改为已经部署好的攻击合约。 3、攻击者向wazirx多签钱包提交提取代币交易，由于代理模式的机制，钱包合约会利用delegatecall调用攻击合约的相关函数，转走钱包代币。