事件概覽
北京時間2021年3月4日,根據輿情監測,BSC生態DeFi項目Meerkat?Finance疑似跑路,其自稱金庫合約遭遇到黑客攻擊,黑客利用漏洞盜取了金庫中的全部資金。目前該項目網站已經無法打開。
原文鏈接如下:
https://www.bishijie.com/kuaixun/909558.html
成都鏈安安全團隊第一時間針對該事件啟動安全響應,針對用戶攻擊地址
OKX Ventures宣布投資基于zkRollup的Layer2網絡 Taiko:6月8日消息,OKX Ventures 宣布投資基于 zkRollup 的 Layer2 網絡 Taiko,Taiko 可以使開發者和用戶能夠安全地體驗以太坊,交易費用更低,而且不需要考慮任何變化。
OKX Ventures 創始人 Dora 表示,Taiko 構建的 zk-EVM 屬于 Type1 梯隊,即完全的以太坊等效性,是當前 zkEVM 領域最具潛力的項目,也是以太坊創始人 Vitalik Buterin 在推特中點名的 ZK-EVM 五大選手之一[2023/6/9 21:24:57]
進行跟蹤。經過跟蹤攻擊者地址,我們發現,攻擊者分別地一次性地將大量資金進行轉出,如圖1所示。盡管官方自稱是遭遇了黑客攻擊,但根據我們的分析結果,基本能夠斷定Meerkat?Finance項目方已經跑路。
美聯儲埃文斯:預計到2023年初,利率將略高于4.5%:10月10日消息,美聯儲埃文斯:加息結束后一段時間內需要采取限制性貨幣政策。預計到2023年初,利率將略高于4.5%。過度加息會造成經濟損失。(金十)[2022/10/11 10:30:17]
圖1
圖2
事件分析
緊接著,我們開始針對轉移盜竊資金的兩筆交易進行分析,發現攻擊者直接通過調用金庫合約的一個函數,將金庫合約中的資金全部轉走;而金庫合約使用的是可升級的代理合約,也就是實際邏輯是可以進行更改的,其權限在項目方。
MetaThaicoin NFT與Project Galaxy項目平臺達成戰略合作:據官方消息,MetaThaicoin(TAC)宣布與銀河計劃Project Galaxy(GAL)Web3.0 的 NFT 憑證系統平臺達成戰略合作。
MetaThaicoin(TAC)元宇宙保險,推出的兩套稀量NFT和平象系列“METATHAI ELEPHANT”以及交易猿系列“TRADING APE”,都已經與Quest3、銀河計劃Project Galaxy(GAL)達成合作。[2022/7/31 2:48:39]
圖3
圖4
根據記錄還可得出,項目方在WBNB金庫盜竊中,代理合約的實際邏輯還是正常的金庫合約,在攻擊時才將合約邏輯替換成存在后門的合約。但是在盜取BUSD的交易中,項目方索性扯下了自己的“遮羞布”,一開始就部署的是存在后門的合約。如圖5所示:
圖5
成都鏈安安全團隊發現兩次攻擊所用的后門合約都是同一套代碼,我們在對其中一個合約進行反編譯時分析發現,其就是一個將代幣進行轉移的函數。如圖6所示:
圖6
最終,我們得出結論,本次事件顯然是項目方預謀的釣魚事件,從一開始就是奔著跑路去的;而在本次事件中,代碼層的罪魁禍首就是“可升級的代理合約”給予了項目方過大的權限,導致項目方盜取用戶資金,如同探囊取物。
安全建議
成都鏈安安全團隊認為,對于“可升級的代理合約”,在審計角度來看,為了保證項目的可維護性和迭代可能,保留這類權限并不是不可取的。即使在日常的安全審計工作中,我們也不能要求項目方取消這類權限。但權力是一把雙刃劍,是好是壞則取決于使用它的人。在成都鏈安出具的安全審計報告中,我們一直以來都有對此類權限加以說明。同時,在這里有必要提醒廣大用戶選擇投資項目時,一定要詳細閱讀安全審計報告中的細節描述,特別是我們給出的潛在風險提示及安全建議。
最后,需要引起注意到是,我們監測到攻擊者在使用transferFrom函數盜取用戶錢包內已授權給金庫合約的資金,目前已有用戶錢包內的資金被盜16萬BUSD。
在此,成都鏈安安全團隊特別提醒各位已參與此項目的用戶,立即取消對該項目地址的授權,或立即轉移錢包內的資金,避免造成二次損失。
BSC授權檢查地址如下:
https://bscscan.com/tokenapprovalchecker
來源:金色財經
幣圈行情最近幾天反彈得很不錯,比特幣重上了5萬美元,大量山寨幣也跟隨多少有所表現。凱哥發現?對于接下去的走勢,各路大V和分析師的意見分歧很大?.
1900/1/1 0:00:00據了解,目前約有1萬多家幣圈項目,作為項目方,不得不考慮如何“鶴立雞群”。媒介咖始終認為一套優秀的幣圈項目推廣方案尤為重要。本文主要從軟文推廣角度闡述如何進行幣圈項目推廣.
1900/1/1 0:00:00每個投資者都不是天生優秀,都經歷過一段難熬的日子。在那段日子里,承受過多少艱辛,付出了多少努力只有自己知道。回頭再談起當時的努力,發現一切都值得.
1900/1/1 0:00:00前言:行情不可怕,閃崩不可怕,誘單不可怕,可怕的是你不能把握行情,只有穩定的行情狙擊,以及嚴格的執行進場才能滿載而歸,否則你看著每日的行情波動,看著每日的行情走勢依舊是望洋興嘆,所以跟上節奏.
1900/1/1 0:00:003.4大餅獲利至少1000個點:?早間爽哥讓大家大餅做多,49000附近給到多單,止盈第一目標看到51000附近,完美盈利至少1000個點,這波操作大家有沒有跟上,完美斬殺至少1000個點.
1900/1/1 0:00:00???大家上午好,我是桃醬論幣。幣圈市場之路荊棘密布,沒有常勝的法則,只有合理的倉位和良好的心態才能站穩在這個市場.
1900/1/1 0:00:00