據BeosinEagleEyeWeb3安全預警與監控平臺檢測顯示,PLTD項目遭受黑客攻擊,其交易池中的所有BUSD被全部兌空,攻擊者共獲利24,497枚BUSD。經過Beosin安全團隊分析,本次攻擊主要是利用了PLTD合約中的代碼漏洞,通過閃電貸攻擊將Cake-LP(0x4397c7)中的PLTD代幣余額降為1,然后用手中的PLTD將所有的BUSD全部兌換到攻擊合約中。具體細節如下:
第一步:攻擊者通過DODO協議的閃電貸發起了2次閃電貸借貸,同借貸66.6萬BUSD,作為攻擊準備金;第二步:攻擊者將66.6萬的BUSD全部兌換為157萬的PLTD代幣,此時,攻擊者手中已經持有的大量的PLTD代幣,后續將利用這些代幣達到操控Cake-LP中的PLTD代幣余額的目的;第三步:攻擊者查詢當前的bron值與Cake-LP的PLTD余額,這是在做攻擊前的檢查,注意這兩個值很關鍵,關系到攻擊的成敗;第四步:攻擊者直接向Cake-LP(0x4397c7)發送了11.6萬的PLTD代幣,注意,這個數量剛剛是上一步中Cake-LP中的PLTD代幣余額的兩倍減去1。第五步:攻擊者使用skim將第四步多轉入的PLTD取回,由于PLTD合約的transfer函數中,如果from地址是uniswapV2Pair,那么將會調用_tokenTransferBuy。第六步:前面所有的操作都是為了這一步做準備。這一步,攻擊者向0x16b9a82891338f9ba80e2d6970fdda79d1eb0dae這個地址轉入1PLTD,由于這個地址不是Cake-LP的地址,這次轉賬調用的內部函數是_tokenTransfer這個內部函數,問題代碼在第451行到456行,由于第四步中,將_bron設置為了Cake-LP的余額減去1,并且在第五步恢復了Cake-LP的余額,這一步直接將Cake-LP的余額減至1(這里略去了通縮分紅型代幣的tAmount與rAmount轉換,這個轉換在本次攻擊中并不重要),然后再調用Cake-LP的sync函數,將余額同步為reserve。第七步:攻擊者將手中的所有PLTD代幣,全部兌換為BUSD,幾乎掏空了Cake-LP的全部BUSD余額,攻擊者獲得了69萬的BUSD。并將其中的66.6萬BUSD歸還閃電貸,剩余為本次攻擊獲利24,497BUSD,并全部轉入了0x083c057221e95D45655489Fb01b05C4806387C19地址,截止發文時,該資金未進行轉移。
安全團隊:PolkaDex項目Discord服務器遭入侵:金色財經消息,據CertiK官方推特發布消息稱,PolkaDex項目Discord服務器遭入侵,有黑客發布釣魚鏈接。在團隊確認已重獲對服務器的控制之前,請勿點擊任何鏈接。[2023/7/2 22:13:13]
針對本次攻擊事件,Beosin安全團隊提出以下建議:1.在合約上線之前,項目方應尋找第三方安全公司進行完整的安全審計;2.在代幣合約中,直接操作Pair的代幣余額是非常危險的行為,建議項目方如非必要,千萬不要進行此操作。
安全團隊:JayPeggers項目疑似遭到閃電貸攻擊:金色財經消息,據CertiK監測,JayPeggers ($JAY) 項目疑似遭到閃電貸攻擊。攻擊者獲利約15枚ETH(約1.8萬美元),并將其存入Tornado Cash和Aztec Network。[2022/12/29 22:14:24]
攻擊交易:0x8385625e9d8011f4ad5d023d64dc7985f0315b6a4be37424c7212fe4c10dafe0,
安全團隊:被標記為孫宇晨的地址從Aave撤回5000萬枚BUSD:10月21日消息,據派盾(PeckShield)監測,被標記為孫宇晨的地址從Aave V2中撤回5000萬枚BUSD,此外該地址還向Paxos Treasury相關地址轉入7000萬枚BUSD。[2022/10/21 16:33:47]
攻擊者地址:0x6ded5927f2408a8d115da389b3fe538990e93c5b
Web3多鏈錢包BitKeep在官網上發布了一封《致BitKeepSwap黑客的公開信》,公布了其掌握的黑客/模仿攻擊套利者的信息.
1900/1/1 0:00:00a16z總法律顧問MilesJennings在推特上表示:“a16z已在美國商品期貨交易委員會訴OokiDAO案中提交了法庭之友簡報,并主要關注‘CFTC應該監管應用程序.
1900/1/1 0:00:00Terra開發人員本周早些時候提出一項新提案“TerraExpedition”,希望恢復其生態系統.
1900/1/1 0:00:00據吳說報道,火必宣布為規范員工投資及平臺交易,防范內幕交易、“老鼠倉”等各類行為,特制定《火必集團員工投資行為管理規定》,該規定將于2022年11月23日起正式生效.
1900/1/1 0:00:00YCombinator的聯合創始人PaulGraham在推特上不再關注V神。今日早些時候,YC創始人PaulGraham發推表示;“我認識了十多年的一個人,我認為他值得信賴,他相信加密貨幣經濟很.
1900/1/1 0:00:00全球數字資產投資集團GreenAssetCapital宣布推出10億美元的BTCÐ基金,專注于金融科技、加密貨幣、區塊鏈、Web3、元宇宙等領域的可持續、早期和成長階段投資.
1900/1/1 0:00:00