Beosin：Penpie 遭到攻击损失约2700 万美元资产攻击事件分析

金色财经报道，据Beosin EagleEye监测发现，稳定币协议Steadifi遭到攻击,攻击者获取了协议部署钱包的控制权。攻击者已将所有金库（借贷和策略）投资组合的所有权转移至自己控制的钱包(0x9cf71F2ff126B9743319B60d2D873F0E508810dc),目前，攻击者已在Arbitrum和Avalanche上耗尽了所有可借出资金，并通过跨链桥将资产兑换成以太币转移到以太坊主网，被盗资金约1,140,000美元。 Steadifi正与攻击者进行谈判，提供10%的赏金以换回剩余90%的被盗资产。

金色财经报道，根Beosin EagleEye安全风险监控、预警与阻断平台监测显示，Optimism链上Exactly Protocol项目遭受攻击，Beosin Trace追踪发现本次事件损失至少约700万美元，Beosin安全团队提醒用户注意资金安全。

据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年6月28日DeFi借贷协议Themis Protocol遭到攻击，攻击者获利约37万美元，Beosin Trace追踪发现已有130,471个USDC、58,824个USDT和94个ETH被盗，目前，被盗资金被转移到以太坊的0xDb73eb484e7DEa3785520d750EabEF50a9b9Ab33地址。其攻击的原因在于预言机实现存在问题，导致预言机被操纵。 攻击交易为：0xff368294ccb3cd6e7e263526b5c820b22dea2b2fd8617119ba5c3ab8417403d8。攻击的核心是攻击者在借款前，用大量WETH兑换wstETH，使得预言机获取价格时被操纵，导致攻击者仅用55WETH借出317WETH。 如图，在getAssetPrice函数调用Balancer: Vault.getPoolTokens函数时，wstETH与ETH数量从正常的2,423 : 2,796被操纵为0.238 : 42,520.从而操纵了预言机。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年4月5日， DeFi借贷协议sentiment协议遭到攻击，损失约1百万美元，Beosin Trace追踪发现已有0.5WBTC、30个WETH、538,399USDC和360,000USDT被盗，目前，大部分被盗资金还在攻击者地址。其攻击的原因在于重入导致的价格错误。 攻击交易:https://arbiscan.io/tx/0xa9ff2b587e2741575daf893864710a5cbb44bb64ccdc487a100fa20741e0f74d Beosin安全团队现将分析结果分享如下： 1.攻击者首先调用Balancer Vault的“joinPool”函数进行质押。 2.然后再调用“exitPool”取回质押，在这个过程中，Balancer Vault会向攻击者发送eth从而调用攻击合约的fallback函数。在该函数中，攻击者调用0x62c5合约的borrow函数，该过程需要根据Balancer Vault.getPoolTokens()的返回数据进行价格计算。而当前正在攻击者的"exitPool"过程中，pool中总供应量已经减少而数据还没有更新，攻击者利用这个数据错误从而多借出资产达成获利。 攻击者收到消息，如果在4月6日8点（UTC）前归还资产，会获得95000美元奖励，并不会被追究。

金色财经报道，据Beosin Alert监控预警发现，以太坊链上的Gala Games协议遭到黑客攻击，攻击者通过mint直接铸造了50亿枚GALA代币，并且分批次将其兑换为ETH。目前为止，攻击者已将近6亿枚GALA代币兑换为5913枚ETH，攻击者地址目前保存了5913枚ETH以及44亿枚GALA代币。

金色财经报道，据Beosin Alert监控预警发现，跨链协议LI.FI遭受攻击，主要是攻击者利用项目合约的call注入将授权给合约的用户资产转移走，Beosin Trace对被盗资金进行追踪发现，损失金额包括633.59万USDT、319.19万USDC、16.95万DAI，约1000万美元。攻击发生在ETH以及Arbitrum这两条链上，目前大部分资金转为ETH暂无新的动向，Beosin 已将黑客相关地址加入KYT黑地址库，后续将持续保持追踪关注。