慢霧：仍有大部分錢包支持 eth_sign，僅少部分錢包提供安全風險警告

ForesightNews消息，慢霧安全提醒，在加密貨幣、NFT板塊，越來越多的釣魚網站濫用eth_sign簽名功能來進行盲簽欺詐，提醒或禁用這種低級的簽名方法對于保護用戶安全是至關重要的，不少Web3錢包已經采取相關措施來對這種危險的簽名方法進行安全提示和限制。慢霧安全團隊抽取市面熱門搜索和下載量比較大的20個CryptoWalletApp和20個瀏覽器擴展錢包進行測試。一、根據對20個熱門加密貨幣錢包應用程序在GooglePlay上的測試，情況如下：4個加密錢包App選擇禁用對eth_sign支持。16個加密錢包App支持eth_sign。其中，4個加密錢包擴展提供eth_sign安全警告，其他12個沒有提供安全警告。二、根據對ChromeWebStore中20個加密錢包Chrome擴展的測試，情況如下：5個加密錢包擴展選擇禁用了對eth_sign支持。15個加密錢包擴展支持eth_sign。其中，6個加密錢包擴展提供了eth_sign安全警告，其他9個沒有提供安全警告。綜上說明，仍有一大部分加密錢包支持eth_sign，其中少部分錢包提供eth_sign安全風險警告。如果用戶仍想要使用eth_sign，他們可以選擇支持該功能的加密錢包。但是，用戶在使用這些錢包時需要特別注意安全警告，以確保其交易的安全性。

慢霧：Inverse Finance遭遇閃電貸攻擊簡析:據慢霧安全團隊鏈上情報，Inverse Finance遭遇閃電貸攻擊,損失53.2445WBTC和99,976.29USDT。慢霧安全團隊以簡訊的形式將攻擊原理分享如下：

1.攻擊者先從AAVE閃電貸借出27,000WBTC,然后存225WBTC到CurveUSDT-WETH-WBTC的池子獲得5,375.5個crv3crypto和4,906.7yvCurve-3Crypto,隨后攻擊者把獲得的2個憑證存入Inverse Finance獲得245,337.73個存款憑證anYvCrv3Crypto。

2.接下來攻擊者在CurveUSDT-WETH-WBTC的池子進行了一次swap,用26,775個WBTC兌換出了75,403,376.18USDT,由于anYvCrv3Crypto的存款憑證使用的價格計算合約除了采用Chainlink的喂價之外還會根據CurveUSDT-WETH-WBTC的池子的WBTC,WETH,USDT的實時余額變化進行計算所以在攻擊者進行swap之后anYvCrv3Crypto的價格被拉高從而導致攻擊者可以從合約中借出超額的10,133,949.1個DOLA。

3.借貸完DOLA之后攻擊者在把第二步獲取的75,403,376.18USDT再次swap成26,626.4個WBTC,攻擊者在把10,133,949.1DOLAswap成9,881,355個3crv,之后攻擊者通過移除3crv的流動性獲得10,099,976.2個USDT。

4.最后攻擊者把去除流動性的10,000,000個USDTswap成451.0個WBT,歸還閃電貸獲利離場。

針對該事件，慢霧給出以下防范建議：本次攻擊的原因主要在于使用了不安全的預言機來計算LP價格，慢霧安全團隊建議可以參考Alpha Finance關于獲取公平LP價格的方法。[2022/6/16 4:32:58]

慢霧：2021年上半年共發生78起區塊鏈安全事件，總損失金額超17億美元:據慢霧區塊鏈被黑事件檔案庫統計，2021年上半年，整個區塊鏈生態共發生78起較為著名的安全事件，涉及DeFi安全50起、錢包安全2起，公鏈安全3起，交易所安全6起，其他安全相關17起，其中以太坊上27起，幣安智能鏈(BSC)上22起，Polygon上2起，火幣生態鏈(HECO)、波卡生態、EOS上各1起，總損失金額超17億美元(按事件發生時幣價計算)。

經慢霧AML對涉事資金追蹤分析發現，約60%的資金被攻擊者轉入混幣平臺，約30%的資金被轉入交易所。慢霧安全團隊在此建議，用戶應增強安全意識，提高警惕，選擇經過安全審計的可靠項目參與；項目方應不斷提升自身的安全系數，通過專業安全審計機構的審計后才上線，避免損失；各交易所應加大反洗錢監管力度，進一步打擊利用加密資產交易的洗錢等違規行為。[2021/7/1 0:20:42]

動態 | 慢霧：Electrum“更新釣魚”盜幣攻擊補充預警:Electrum 是全球知名的比特幣輕錢包，支持多簽，歷史悠久，具有非常廣泛的用戶群體，許多用戶喜歡用 Electrum 做比特幣甚至 USDT(Omni) 的冷錢包或多簽錢包。基于這種使用場景，Electrum 在用戶電腦上使用頻率會比較低。Electrum 當前最新版本是 3.3.8，而已知的 3.3.4 之前的版本都存在“消息缺陷”，這個缺陷允許攻擊者通過惡意的 ElectrumX 服務器發送“更新提示”。這個“更新提示”對于用戶來說非常具有迷惑性，如果按提示下載所謂的新版本 Electrum，就可能中招。據用戶反饋，因為這種攻擊，被盜的比特幣在四位數以上。本次捕獲的盜幣攻擊不是盜取私鑰（一般來說 Electrum 的私鑰都是雙因素加密存儲的），而是在用戶發起轉賬時，替換了轉賬目標地址。在此我們提醒用戶，轉賬時，需要特別注意目標地址是否被替換，這是近期非常流行的盜幣方式。并建議用戶使用 Ledger 等硬件錢包，如果搭配 Electrum，雖然私鑰不會有什么安全問題，但同樣需要警惕目標地址被替換的情況。[2020/1/19]

Tags：ETHSIGSIGNUSD白嫖steamtogetherbnbSigil FinanceSignal TokenStable USD

Pol幣