Beosin：Terra链事件漏洞属于是cosmos基础库中的漏洞

近日，Beosin 安全研究人员在 SnarkJS 0.6.11及之前的版本的库中发现了一个严重漏洞，SnarkJS 是一款用于构建零知识证明的开源 JavaScript 库，广泛应用于 zk-SNARK 技术的实现和优化。Beosin在提了这个漏洞以后，第一时间联系项目方并协助修复，目前该漏洞还处于修复测试中。Beosin提醒所有使用了SnarkJS库的项目方，在SnarkJS 库这个漏洞还没完全修复时，一定要注意安全风险。

据Beosin EagleEye 安全预警与监控平台检测显示，ETH链上的EthTeamFinance项目遭受漏洞攻击，攻击合约0xCFF07C4e6aa9E2fEc04DAaF5f41d1b10f3adAdF4通过LockToken合约的migrate函数没有正确验证_id和params的漏洞，将WTH，CAW，USDC，TSUKA代币从V2流动性池非法升级到V3流动性池，并且通过sqrtPriceX96打乱V3流动池的Initialize的价格，从而获取大量refund套利。共计套利了约1300多万美元。

金色财经报道，Cosmos开发者成功修复了其Inter-Blockchain Communication（IBC）协议中的一个关键安全漏洞，该漏洞曾危及价值至少1.26亿美元的资产。该漏洞自2021年协议推出以来一直存在，最近由于引入新的代码库开发，使得它成为一个可被利用的漏洞。然而，在修复漏洞的过程中，没有任何资金被损失，确保没有发生恶意利用。

金色财经报道，近日，区块链安全公司Beosin发现Move VM严重级别漏洞。Beosin安全研究团队在Move虚拟机中发现了一个没有限制递归调用深度而导致的栈溢出漏洞，这个漏洞可以导致整个网络崩溃（total network shutdown），还会让新的validator节点无法加入到网络中，甚至有可能导致硬分叉（hard fork）。Sui mainnet_v1.2.1、Aptos mainnet_v1.4.3以前的版本都受此漏洞影响。目前该漏洞已被官方修复。Suimainnet_v1.2.1、Aptosmainnet_v1.4.3、Move-language 2023年6月10日之后的版本修复了此漏洞。

金色财经报道，根据区块链安全审计公司Beosin旗下Beosin EagleEye 安全风险监控、预警与阻断平台监测显示，2022年11月29日，SEAMAN合约遭受漏洞攻击。Beosin分析发现是由于SEAMAN合约在每次transfer函数时，都会将SEAMAN代币兑换为凭证代币GVC，而SEAMAN代币和GVC代币分别处于两个交易对，导致攻击者可以利用该函数影响其中一个代币的价格。 攻击者首先通过50万BUSD兑换为GVC代币，接下来攻击者调用SEAMAN合约的transfer函数并转入最小单位的SEAMAN代币，此时会触发合约将能使用的SEAMAN代币兑换为GVC，兑换过程是合约在BUSD-SEAMAN交易对中将SEAMAN代币兑换为BUSD，接下来在BUSD-GVC交易对中将BUSD兑换为GVC，攻击者通过多次调用transfer函数触发_splitlpToken()函数，并且会将GVC分发给lpUser，会消耗BUSD-GVC交易对中GVC的数量，从而抬高了该交易对中GVC的价格。最后攻击者通过之前兑换的GVC兑换了50.7万的BUSD，获利7781 BUSD。Beosin Trace追踪发现被盗金额仍在攻击者账户（0x49fac69c51a303b4597d09c18bc5e7bf38ecf89c），将持续关注资金走向。

8月11日消息，据慢雾安全团队，近期slack团队修复了用户在创建或撤销其工作区的邀请链接时会将用户的密码哈希发送给其他工作区的成员的漏洞。此漏洞影响了在2017年4月17日至2022年7月17日期间进行创建或撤销其工作区的邀请链接操作的所有用户。 目前slack团队已经强制重置了受影响用户的密码，慢雾安全团队提醒相关slack使用者注意关于此事件相关的邮件钓鱼、撞库等风险，及时修改与slack使用的密码一致的其他账户密码。