HAI:慢霧分析 Value DeFi vSwap 模塊被黑

據慢霧區情報，幣安智能鏈項目ValueDeFi的vSwap模塊被黑，慢霧安全團隊分析如下：1.攻擊者首先使用0.05枚WBNB通過vSwap合約兌換出vBSWAP代幣；2.攻擊者在兌換的同時也進行閃電貸操作，因此vSwap合約會將兌換的vBSWAP代幣與閃電貸借出的WBNB轉給攻擊者；3.而在完成整個兌換流程并更新池子中代幣數量前，會根據池子的tokenWeight0參數是否為50來選擇不同的算法來檢查池子中的代幣數量是否符合預期；4.由于vSwap合約的tokenWeight0參數設置為70，因此將會采用第二種算法對池子中的代幣數量進行檢查；5.而漏洞的關鍵點就在于采用第二種算法進行檢查時，可以通過特殊構造的數據來使檢查通過；6.第二種算法是通過調用formula合約的ensureConstantValue函數并傳入池子中緩存的代幣數量與實時的代幣數量進行檢查的；7.在通過對此算法進行具體分析調試后我們可以發現，在使用WBNB兌換最小單位(即0.000000000000000001)vBSWAP時，池子中緩存的WBNB值與實時的值之間允許有一個巨大的波動范圍，在此范圍內此算法檢查都將通過；8.因此攻擊者可以轉入WBNB進行最小單位的vBSWAP代幣兌換的同時，將池子中的大量WBNB代幣通過閃電貸的方式借出，由于算法問題，在不歸還閃電貸的情況下仍可以通過vSwap的檢查；9.攻擊者只需要在所有的vSwap池子中，不斷的重復此過程，即可將池子中的流動性盜走完成獲利。

慢霧：從Multichain流出的資金總額高達2.65億美元，分布在9條鏈:金色財經報道，自7月7日以來，從 Multichain 流出的資金總額高達 2.65 億美元，分布在 Ethereum、BNB Chain、Polygon、Avalanche、Arbitrum、Optimism、Fantom、Cronos、Moonbeam 鏈。其中 6582 萬美元已經被 Circle 和 Tether 凍結，1,296,990.99 ICE（約 162 萬美元） 被 Token 發行方 Burn。流出的資金中，包括：

1）從 Multichain: Old BSC Bridge 轉出的 USDT；

2）從 Multichain: Fantom Bridge 轉出的 USDC、DAI、LINK、UNIDX、USDT、WOO、ICE、CRV、YFI、TUSD、WETH、WBTC；

3）從 Anyswap: Bridge Fantom 轉出的 BIFI；

4）從 Multichain: Moonriver Bridge 轉出的 USDC、USDT、DAI、WBTC；

5）從 MultiChain: Doge Bridge 轉出的 USDC；

6）從 Multichain: Executor 轉出的 DAI、USDC、BTCB、WBTC、WETH、Dai.e、WBTC.e、Bridged USDC、BTC、fUSDT、ETH 等；

7）從被 Etherscan 標記為 Fake_Phishing183873 的 0xe1910...49c53 轉出的 WBTC、USDT、ETH，同時我們認為該標記（Fake Phishing183873）或許是 Etherscan 上的虛假標記，地址可能以前屬于 Multichain 官方賬戶。[2023/7/11 10:48:30]

慢霧：靚號黑客已獲取到ParaSwap Deployer和QANplatform Deployer私鑰權限:10月11日消息，據慢霧區情報，靚號黑客地址之一（0xf358..7036）已經獲取到ParaSwap Deployer和QANplatform Deployer私鑰權限。黑客從ParaSwap Deployer地址獲取到約1千美元，并在QANplatform Deployer地址做了轉入轉出測試。慢霧MistTrack對0xf358..7036分析后發現，黑客同樣盜取了The SolaVerse Deployer及其他多個靚號的資金。截止目前，黑客已經接收到超過17萬美元的資金，資金沒有進一步轉移，地址痕跡有Uniswap V3、Curve、TraderJoe，PancakeSwap、OpenSea和Matcha。慢霧MistTrack將持續監控黑客地址并分析相關痕跡。[2022/10/11 10:31:05]

慢霧 x IMEOS市場預警:警惕數字貨幣轉賬地址劫持攻擊，這個攻擊鏈從錢包地址的展示到復制到最終黏貼環節都可能存在。從我們歷史審計經驗及慢霧區情報反饋來看，這個攻擊在交易所或錢包轉賬過程，暗網勒索過程等都有相關真實案例發生。這個攻擊從地下黑客風向標來看，已經頗具產業鏈形態，特此預警：在轉賬確認之前一定要再三確認目標錢包地址是否正確（不要僅看首尾字符串，需要嚴格一一驗證）。[2018/4/12]

Tags：SWAPUSDCHAHAIParaSwap泰達幣USDT官網MECHA幣chain幣是什么幣

歐易交易所app官網下載