攻击

CoinVoice最新获悉：4 月 23 日，NFT 项目方 Akutar 的 11,539.5 ETH（约合 3,400 万美元）被永久锁定在拍卖合约。据欧科云链链上天眼显示： Aku 采用的是类似荷兰降价拍卖的形式，拍卖结束后会按照结束价格给用户退还超过最低价格的部分，因此这涉及 refund 以及 total bids 统计两个方面，而项目方在这两个方面均存在实现逻辑问题。 第一个漏洞，processRefunds() 会被恶意合约阻断，实现 DoS 攻击，也确有用户使用恶意合约阻断了 processRefunds(）执行，但该名用户表示只是让项目方确认问题存在，随即设置恶意合约变量，使得 processRefunds(）顺利执行完，因此该漏洞虽被利用，但已成功解决。 第二个漏洞，也就是真正导致项目方无法提款的关键所在，processRefunds(）是按照 msg.sender 的数量记录在了 refundProgress 变量，拍卖结束项目方调用 claimProjectFunds() 取出合约内的 ETH 时，要求满足 refundProgress >= totalBids，而 totalBids 记录的是 NFT 的数量，合约最终状态 refundProgress 数值为 3669，totalBids 数值为 5495，从而导致项目方无法提取合约内的 11539.5 ETH。 需要指出的是，在执行 processRefunds(）之前，参与拍卖的用户可以在三天后通过 emergencyWithdraw() 将个人投入的 ETH 取回，但由于 processRefunds(）的执行，导致用户的拍卖状态由未处理变为 refund，从而不能再进行 emergencyWithdraw()。

CoinVoice最新获悉：4 月 22 日，Web3 和区块链安全公司 CertiK 宣布完成 6,000 万美元融资，SoftBank Vision Fund II 与 Tiger Global 参投，标志着软银首次涉足 Web3 安全领域。CertiK 的营销副总裁 Monier Jalal 表示：「随着 Web3 开发的势头强劲，随之而来的黑客攻击事件也在增加，这种巨大的影响推动了对 Web3 安全的需求。」 此前报道，4 月 7 日，CertiK 宣布近日完成 8,800 万美元 B3 轮融资，估值达到 20 亿美元，此次融资由 Insight Partners、Tiger Global 和 Advent International 领投，高盛、 红杉资本和 Lightspeed Venture Partners 等参投。[原文链接]

CoinVoice最新获悉：4 月 21 日，派盾在社交媒体上发出警告，DeFi 生态协议 ZEED 可能遭到攻击，损失约 100 万美元，目前攻击者的收益都在攻击合约中。[原文链接]

CoinVoice最新获悉：4 月 21 日，据慢雾区情报，近期 Terra 链上部分用户的资产被恶意转出。慢雾安全团队发现从 4 月 12 日开始至 4 月 21 日约有 52 个地址中的资金被恶意转出至 terra1fz57nt6t3nnxel6q77wsmxxdesn7rgy0h27x30 中，当前总损失约 431 万美金。 经过慢雾安全追踪分析确认，此次攻击为批量谷歌关键词广告投放钓鱼，用户在谷歌搜索如：astroport，nexus protocol，anchor protocol 等 Terra 项目，谷歌结果页第一条看似正常的广告链接（显示的域名甚至是一样的）实为钓鱼网站。一旦用户不注意访问此钓鱼网站，点击连接钱包时，钓鱼网站会提醒直接输入助记词，一旦用户输入并点击提交，资产将会被攻击者盗取。 慢雾安全团队建议 Terra 链上用户保持警惕不要随便点击谷歌搜索出来的链接或点击来历不明的链接，减少使用常用钱包进行非必要的操作，避免不必要的资损。[原文链接]

CoinVoice最新获悉：4 月 20 日，NFT 基础设施服务商 Project Galaxy 官方 Discord 遭遇攻击，黑客利用机器人账号在频道内发布虚假链接。提醒用户注意风险，不要点击黑客提供的链接。

CoinVoice最新获悉：4 月 19 日，NFT 项目 Elemental by Fang Lijun 官方 Discord 疑似遭遇攻击，身份验证阶段需输入钱包助记词。提醒用户不要点击任何钓鱼链接或随意连接钱包，注意资产安全。

CoinVoice最新获悉：4 月 19 日，据 Gnosis Chain 官方消息，EVM 兼容链 Gnosis Chain（原 xDai Chain）宣布将于区块高度 21,735,000 处进行硬分叉升级，预计时间约为北京时间 4 月 20 日 14:30，此次升级旨在加强 Gnosis Chain 对重入攻击的防范。[原文链接]

CoinVoice最新获悉：4 月 19 日，此前因受闪电贷攻击损失 1.8 亿美元的算法 Stablecoin 项目 Beanstalk Farms 在 Discord 发布公告表示项目团队基于社区讨论，正在起草一份提案以重启项目，同时将召开社区会议，针对项目重启方案听取更广泛的意见以保证 Beanstalk 的持久成功。会议结束后，团队将在 Snapshot 发布提案投票。

CoinVoice最新获悉：4 月 18 日，派盾在其社交网站表示，初步分析显示，算法 Stablecoin 项目 Beanstalk Farms 受闪电贷攻击导致其损失约为 1.82 亿美元，包括 79,238,241 枚 BEAN3CRV-f、1,637,956 枚 BEANLUSD-f、36,084,584 枚 BEAN 以及 0.54 枚 UNI-V2_WETH_BEAN。[原文链接]

CoinVoice最新获悉：4 月 17 日，派盾在其社交网站发布消息称，算法 Stablecoin 项目 Beanstalk Farms 遭黑客攻击，损失超过 8000 万美元，包括 24830 枚 ETH 和 3600 万枚 BEAN。目前，BEAN 价格已经从约 1 美元跌至 0.136 美元，跌幅达 86%。 另据 Etherscan 浏览器显示，标记为「Beanstalk Flashloan Exploiter」的地址已经通过 Tornado Cash 将上千个 ETH 转入混币池。[原文链接]

CoinVoice最新获悉：4 月 17 日，DeFi 保险协议 InsurAce 已完成对 Stablecoin 收益平台 Elephant Money 攻击事件的漏洞调查并启动用户索赔程序。此次攻击导致 Elephant Money 金库损失约 1100 万美元的资金，核心原因是 Elephant Money 智能合约造币功能存在缺陷，因此本次黑客攻击被视为可索赔事件。 具体符合索赔条件为在 UTC 时间 2022 年 4 月 12 日 16:49:33 前持有一个主动的「Smart Contract Vulnerability」保单的用户，且在 2022 年 4 月 12 日 16:49:33 前在 Elephant 铸造了 TRUNK 并在 2022 年 4 月 12 日 16:49:33 前一直持有的用户。[原文链接]

CoinVoice最新获悉：4 月 15 日，派盾（PeckShield）在社交媒体上发文表示，截至 2022 年 4 月 15 日，Ronin 盗币地址已将总计约 2.8 万枚 ETH（占总数的 16%）转移到 Tornado Cash，钱包中还持有约 147753 枚 ETH（4.484 亿美元）。 可能与 Ronin Network 被盗相关的 1.4 万枚 ETH（约 4200 万美元），已从 Tornado Cash 中被提取，26% 被交易并桥接到 Avalanche，目前，14.6 万枚 AVAX（约 1100 万美元）留在 P 链地址 avax1rw262684gxeqms3grsnmfkxgwp95ltzj6wa5qg 中。

CoinVoice最新获悉：4 月 14 日，攻击 Ronin 的黑客向中间地址（0x1Bf53ce80FF2ed5711b8A2DB8f7EA5b38DA118d6）转入 3302.6 枚以太坊，并将 1400 枚以太坊分 14 次转入 Tornado Cash 中。[原文链接]

CoinVoice最新获悉：4 月 13 日，派盾报告显示，对 Stablecoin 收益平台 Elephant Money 发起攻击的初始资金是从 Tornado.Cash 中提取的，而此次攻击中收益的 5%（约 1500 枚 BNB）已存入 Tornado.Cash，约 3472 枚 ETH（约 1000 万美元）已桥接至以太坊。[原文链接]

CoinVoice最新获悉：4 月 12 日，BlockSec 团队发现一种新型 Discord 攻击行为，即通过 Discord 私聊向用户发送一张显示为正在加载中的图片，骗取用户点击以获取用户的 Discord 访问权限，黑客因此可以更改用户的密码并支配该 Discord 账户。为了避免遭受此攻击，BlockSec 建议用户关闭 Discord「允许服务器成员直接向您发起私聊」功能，并提高警惕。[原文链接]

CoinVoice最新获悉：4 月 12 日，据加密资产管理公司 CoinShares 报告显示，在连续两周流入后，截至 4 月 8 日，加密市场上周攻击流出资金达 1.34 亿美元，出现自今年 1 月以来最大的单周资金流出。其中，比特币市场资金流出总额达 1.32 亿美元。以太坊市场资金流出达 1530 万美元，该市场年初至今的总流出量达到 1.26 亿美元。ProShares 和 ETC Group 管理的基金分别流出 6450 万美元和 4580 万美元。[原文链接]

CoinVoice最新获悉：Coindesk 报道，近日多个印度官方推特账号被入侵，黑客在推特上发布了与 NFT 相关的诈骗内容。被入侵名单包括印度北方邦及其首席部长 Yogi Adityanath 办公室、旁遮普邦国民议会、以及大学资助委员会和气象局的官方推特。 黑客曾在旁遮普国会的推特上发布链接，
链接称「我们决定通过向 Azuki 和其他 NFT 的持有者分发额外空投来回馈我们的社区」，并请求交互。
截至目前，所有被攻击的推特帐户均已恢复。[原文链接]

CoinVoice最新获悉：4 月 11 日，THORChain 在社交媒体上警告所有 ERC-20 形式的 RUNE 持有者注意网络钓鱼攻击，该攻击伪装成 Thorchain 部署者进行空投。THORChain 警告用户不要与钱包中的「DeTHOR」或任何其他未知 Token 进行交互。[原文链接]

CoinVoice最新获悉：4 月 9 日，Axie Infinity 及 Ronin 链开发公司 Sky Mavis 首席运营官 Alexsander Larsen 在接受 CoinDesk 采访时表示，Ronin 桥被攻击并不是因为智能合约存在漏洞，而与社会工程和人为错误有关，向信任公司的用户表示抱歉，并承担全部责任。（CoinDesk）[原文链接]

CoinVoice最新获悉：4 月 7 日，据 Etherscan 信息显示，攻击 Ronin 的黑客向新地址（0x429a66e7bD829F9453CEE5239Bfeaf5657A11A3e）转入 2018 枚以太坊，并分 18 次将 1800 枚以太坊转入 Tornado Cash。[原文链接]

CoinVoice最新获悉：4 月 7 日，据慢雾区情报，近期有黑客团伙利用 m-of-n 多重签名机制对交易平台进行假充值攻击。慢雾安全团队分析发现，攻击者通常使用 2-of-3 多签地址，发起一笔以 3 个地址构成的多签做为交易输出 (vout) 的交易，此时攻击者在交易平台的 1 个充值地址虽然显示收到资金，但是由于花费这笔资金至少需要 2 个地址的签名，攻击者可利用自己控制的其余 2 个地址将充值资金转出。 慢雾安全团队建议交易平台，及时对 BTC/LTC/DOGE 等基于 UTXO 账号模型的 Token 充值流程进行审查，确保已对交易类型进行正确的判别，谨防多重签名假充值。[原文链接]

CoinVoice最新获悉：4 月 7 日，Cobo 区块链安全团队近日盘点并解析了 3 月发生的典型安全事件，对于多起重入攻击事件、闪电贷攻击、以及 NFT 市场被攻击等多重角度进行了技术解读。 就近期发生安全事件，Cobo 区块链安全团队提醒广大用户关注项目合约升级情况，留意安全风险；同时建议开发者使用 OpenZeppelin ReentrancyGuard 进行防重入攻击的保护，并留意处理不同 ERC Token 标准的兼容问题，及时开展代码审计。 [原文链接]

CoinVoice最新获悉：4 月 7 日，据 CoinDesk 报道，一位不愿透露姓名的 Juno 核心开发人员表示，Juno 网络的崩溃源于一个智能合约的恶意漏洞攻击，该合约伪装成一个简单的「hello world」程序，攻击者在三天时间里向智能合约发送了超过 400 笔交易进行反复试验，最终锁定了一个特定的交易组合导致网络崩溃。 此前报道，Juno 在区块高度 2578108 处停止出块。截至发稿时该网络仍处于离线状态，暂无用户资金受到影响。Juno 核心开发团队表示该漏洞已被公开披露，网络正在修复中。[原文链接]

CoinVoice最新获悉：4 月 6 日，派盾在社交媒体上发出提醒，近 9 天已有 11 个 BAYC 系列 NFT 被盗，总价值约 166 万美元，其中包括此前周杰伦遭受钓鱼攻击失窃的 BAYC #3738 NFT。[原文链接]

CoinVoice最新获悉：4 月 5 日，Cardano 基金会宣布与苏黎世大学区块链中心（UZH BCC）进行为期三年的合作，以进一步研究和探索区块链教育的发展。 通过合作，该基金会将与苏黎世大学的区块链和分布式分类账技术（BDLT）小组合作，探索共识协议的效力等研究主题，并分析 Ouroboros 特有的攻击载体等。[原文链接]