NDS:安全團隊：Nomad攻擊者利用了合約中的process函數提取資金_DHANDS

成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，跨鏈通訊協議Nomad遭遇攻擊，成都鏈安安全團隊現將解析結果分享如下，通過被攻擊合約(0x88a69b4e698a4b090df6cf5bd7b2d47325ad30a3)的轉賬交易看到，許多地址都進行了攻擊。通過找到一筆相關交易，可以到看到攻擊者利用了合約中的process函數進行提取。

安全團隊：Little Lemon Friends項目Discord服務器遭到攻擊:金色財經消息，據CertiK監測，Little Lemon Friends項目Discord服務器遭到攻擊。請社區用戶不要點擊鏈接，鑄造或批準任何交易。[2022/11/6 12:22:19]

在process函數中，可以看到合約對_messageHash進行了判斷，而輸入的messages為0x000000....時，相當于任何未使用的hash，都可以判斷通過。然后跟進acceptableRoot函數，因為_root設置為零(0x000000....),而confirmAt等于1，導致判斷恒成立，攻擊者就能提取資金。

安全團隊：BSC Token Hub跨鏈交易驗證方式存在漏洞:10月7日消息，據Beosin EagleEye平臺監測顯示，BSC Token Hub10月7日遭遇黑客攻擊，Beosin安全團隊現將手法解析如下：幣安跨鏈橋BSC Token Hub在進行跨鏈交易驗證時，使用了一個特殊的預編譯合約用于驗證IAVL樹。而該實現方式存在漏洞，該漏洞可能允許攻擊者偽造任意消息。

1）攻擊者先選取一個提交成功的區塊的哈希值（指定塊：110217401）

2）然后構造一個攻擊載荷，作為驗證IAVL樹上的葉子節點

3）在IAVL樹上添加一個任意的新葉子節點

4）同時，添加一個空白內部節點以滿足實現證明

5）調整第3步中添加的葉子節點，使得計算的根哈希等于第1步中選取的提交成功的正確根哈希

6）最終構造出該特定區塊（110217401）的提款證明

Beosin Trace正在對被盜資金進行實時追蹤。[2022/10/7 18:41:51]

此前消息，此前消息，Nomad遭遇黑客攻擊，其代幣橋內的1.9億美元資金幾乎全部耗盡。

安全團隊：Homeless Friends NFT Discord疑遭攻擊，請社區注意風險:金色財經消息，據派盾監測，Homeless Friends NFT的Discord疑似遭受攻擊，homelessfriends[.]net系釣魚網站。請社區用戶注意風險。[2022/6/4 4:01:50]

Tags：ESSNDSENDCORDsuperwebusinessDHANDSTREND幣CORD價格

PEPE