Fantom鏈上復合收益平臺GrimFinance遭遇閃電貸攻擊,涉及損失資金超3000萬美金。慢霧安全團隊進行分析了攻擊經過如下:
1.攻擊者通過閃電貸借出WFTM與BTC代幣,并在SpiritSwap中添加流動性獲得SPIRIT-LP流動性憑證。
2.隨后攻擊者通過GrimFinance的GrimBoostVault合約中的depositFor函數進行流動性抵押操作,而depositFor允許用戶指定轉入的token并通過safeTransferFrom將用戶指定的代幣轉入GrimBoostVault中,depositFor會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收want代幣,本次攻擊中應為SPIRIT-LP)的差值為用戶鑄造抵押憑證。
慢霧安全預警:Nacos出現遠程代碼執行漏洞攻擊案例,請相關方及時升級:金色財經報道,據慢霧區消息,Nacos 出現遠程代碼執行漏洞攻擊案例。Nacos 是 Alibaba 開源的一個更易于構建云原生應用的動態服務發現、配置管理和服務管理平臺,幫助用戶快速實現動態服務發現、服務配置、服務元數據及流量管理。Nacos 在處理某些基于 Jraft 的請求時,采用 Hessian 進行反序列化,但并未設置限制,導致應用存在遠程代碼執行(RCE)漏洞。其中,1.4.1 <= Nacos < 1.4.6,使用 cluster 集群模式運行受影響;1.4.0、2.0.0 <= Nacos < 2.2.3,任意模式啟動均受到影響。加密貨幣行業有大量平臺采用此方案,請注意風險,并將 Nacos 升級到官方最新新版本。[2023/6/9 21:25:29]
3.但由于depositFor函數并未檢查用戶指定轉入的token的合法性,攻擊者在調用depositFor函數時傳入了由攻擊者惡意創建的代幣合約地址。當GrimBoostVault通過safeTransferFrom函數調用惡意合約的transferFrom函數時,惡意合約再次重入調用了depositFor函數。攻擊者進行了多次重入并在最后一次轉入真正的SPIRIT-LP流動性憑證進行抵押,此操作確保了在重入前后GrimBoostVault預期接收代幣的差值存在。隨后depositFor函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。
關于慢霧安全審計未發現Parallel Finance漏洞的不實消息的聲明:7月11日消息,針對今日媒體報道慢霧安全審計了遭受重入攻擊的DeFi平臺Parallel Finance項目智能合約一事,慢霧安全再次聲明,近日發生重入攻擊的項目是Omni Protocol,該項目是Parallel Finance項目的另一個項目,慢霧審計的是Parallel Finance在波卡生態里的項目代碼,具體的審計報告可見原文鏈接。針對上述事件,慢霧將保留依法追究名譽侵犯的權利。
此前消息,DeFi平臺Parallel Finance遭受重入攻擊,導致了約200萬美元的損失。[2022/7/11 2:06:00]
4.由于攻擊者對GrimBoostVault合約重入了多次,因此GrimBoostVault合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在GrimBoostVault合約中取出了遠多于之前抵押的SPIRIT-LP流動性憑證。隨后攻擊者使用此SPIRIT-LP流動性憑證移除流動性獲得WFTM與BTC代幣并歸還閃電貸完成獲利。
動態 | 網傳“Fomo 3D遭受黑客攻擊” 慢霧安全團隊判斷為DDoS攻擊:網傳“Fomo 3D遭受黑客攻擊”,慢霧安全團隊判斷為Fomo 3D網站遭受了DDoS攻擊,但以太坊上智能合約不受影響,因為以太坊網絡Gas值尚在正常范圍內。目前,Fomo 3D網站使用的安全管理網站Cloudflare已開啟高防驗證,用戶需等待5秒才能訪問網站。據悉,5秒等待時間幾乎是Cloudflare的最高級DDoS防御策略。[2018/7/31]
此次攻擊是由于GrimBoostVault合約的depositFor函數未對用戶傳入的token的合法性進行檢查且無防重入鎖,導致惡意用戶可以傳入惡意代幣地址對depositFor進行重入獲得遠多于預期的抵押憑證。
慢霧安全團隊建議:對于用戶傳入的參數應檢查其是否符合預期,對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。
參考攻擊交易:https://ftmscan.com/tx/0x19315e5b150d0a83e797203bb9c957ec1fa8a6f404f4f761d970cb29a74a5dd6
據Coindesk報道,去中心化交易聚合平臺1inchNetwork完成1.75億美元B輪融資,AmberGroup領投.
1900/1/1 0:00:00游戲巨頭任天堂近日公布最新財務業績,任天堂總裁ShuntaroFurukawa被問及該公司對元宇宙和NFT的立場時表示元宇宙和NFT具有“巨大的潛力”,他說:“元宇宙正在吸引全球許多公司的關注.
1900/1/1 0:00:00加密交易所幣安周一宣布,幣安將成為阿根廷國家足球隊的主要贊助商和國家足球聯賽的冠名贊助商,為期五年。該公司表示,已經與阿根廷足球協會(AFA)簽署了一項協議.
1900/1/1 0:00:00幣安今日發布“關于DOGE提現問題的情況說明”。以下是該事件的實情陳述:一系列的偶然因素疊加導致幣安平臺出現這一無法預料的問題,有且只有幣安平臺受到了影響.
1900/1/1 0:00:00以太坊Layer2擴容解決方案Polygon宣布以4億美元收購了ZK-rollups初創公司MirProtocol,Polygon和Mir于11月26日達成交易.
1900/1/1 0:00:00據官方消息,BinanceNFT平臺將上線Highstreet的IGO,幣安NFT平臺已支持HIGH代幣來進行支付,IGO頁面將于2月4日開放.
1900/1/1 0:00:00