2022年6月24日，成都链安链必应-区块链安全态势感知平台舆情监测显示，由Layer1公链Harmony开发的以太坊与Harmony间的资产跨链桥Horizon遭到攻击，损失金额约为1亿美元。目前Harmony官方已通知交易所并暂停了Horizon跨链桥。成都链安安全团队对此事件进行了分析，现与大家分享。
HarmonyBridge是一个跨链桥项目，由五个验证者节点进行操作验证，本次攻击主要原因是由于两个验证者节点的私钥疑似泄露，导致合约的confirmTransaction函数被成功调用。
香港金管局与阿联酋央行同意就金融基建、虚拟资产监管和发展等加强合作:5月30日消息，香港金管局发布新闻稿表示，阿拉伯联合酋长国中央银行（阿联酋央行）与香港金融管理局（金管局）于 5 月 29 日（阿布扎比时间）在阿布扎比举行双边会议，加强两地金融服务领域的合作。会议期间，阿联酋央行与金管局讨论多项合作计划，并同意就金融基建、两地金融市场互联互通及虚拟资产监管和发展等三大范畴加强合作。此外，双方促成了各自的创新枢纽就金融科技发展合作计划的讨论和知识分享。
阿联酋央行与金管局将共同成立工作小组，在两地银行业相关持份者（利益相关者）的支持下，推进双方商定的合作事宜。 出席研讨会的银行包括在阿联酋营运的 First Abu Dhabi Bank、Abu Dhabi Islamic Bank、Emirates NBD、中国工商银行、中国银行、汇丰及渣打，以及在香港营运的中国银行、花旗集团、汇丰及渣打。[2023/5/30 11:48:34]
数字藏品周指数上涨3.8至55.3:金色财经报道，据同伴客数据显示，上周（2023年3月21日-3月27日）数字藏品国际周指数下跌4.4点至14.2点，国内周指数上涨16.3点至116.9点，数字藏品综合价值周指数上涨3.8至55.3点。
备注：
· 数字藏品综合价值指数由同伴客数据与链境Labs联合研发，是对国际及国内当月市场热度最高的数字艺术品项目市场总销售规模的综合反映，以2021年11月份销售额的30分之7为基数，指数基值为100。
·国内周指数成分之一的幻核于8月16日发布平台终止运营公告，但销量已于7月10日后归零。为遵循去掉某一成分后指数计算结果无变化的原则，该指数使用幻核7/4-7/10的销售数据进行销售基数调整，并将新的销售基数作为8/14后的指数计算基数。[2023/3/27 13:29:06]
#攻击过程
Citadel Securities已持有Silvergate Capital 5.5%的股份:金色财经报道，做市商巨头Citadel Securities报告显示已持有Silvergate Capital 5.5% 的股份后，Silvergate Capital的股价大涨。Citadel持有 170 万股Silvergate Capital股票，按周一收盘价计算价值超过 2500 万美元。[2023/2/15 12:07:11]
攻击者地址：
0x0d043128146654C7683Fbf30ac98D7B2285DeD00
私钥疑似泄露地址：
0xf845A7ee8477AD1FB4446651E548901a2635A915
调查：今年下半年的加密体育赞助交易数较上半年减少了一半以上:12月21日消息，据彭博社的一份调查，FTX的崩溃已威胁到加密行业对体育的赞助。FTX的倒闭使许多运动团体急需资金，并让许多体育界玩家对任何区块链合作伙伴关系都持谨慎态度。据悉，FTX破产前曾是体育赞助界的重量级公司根据咨询公司，GlobalData数据显示，FTX在2021年花费了近1亿美元用于体育赞助，仅次于Crypto.com（1.44亿美元）和Socios.com（1.32亿美元）。SBF的合作伙伴包括NBA迈阿密热火队、加州大学伯克利分校体育系和梅赛德斯。这些团体已经暂停或取消了先前的活动。[2022/12/21 21:58:35]
0x812d8622C6F3c45959439e7ede3C580dA06f8f25
被攻击合约：
安全团队：LV PLUS项目再次发生Rug Pull，损失约5万美元:6月29日消息，安全团队CertiK在社交媒体上称，LV Metaverse (LV PLUS) 项目再次发生Rug Pull，合约部署者再次拿走价值5万美元的代币。
此前消息，LV Metaverse (LV PLUS) 项目的LVP代币暴跌，损失约150万美元。LV Plus合约部署者钱包因将其代币转移并售出而导致了LVP代币暴跌，因此被监测认定为Rug Pull。[2022/6/29 1:37:59]
0x715cdda5e9ad30a0ced14940f9997ee611496de6
示例哈希：
0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65
被攻击的transactionId:21106-21118(eth),120515-120518(bsc)
私钥泄露地址0x812d......8f25地址调用了0x715c......6de6合约的confirmTransaction函数进行操作验证，此处我们以被攻击的transactionId：21107进行分析。
可以发现在本次交易中，isConfirmed的验证返回为true。
但是我们在合约中进行验证者节点查询会发现，虽然owner有五个，但是仅有两名验证者进行了验证。
攻击者就利用这两个验证者节点成功使用external_call获取了相应的代币，并反复利用此攻击来获利。
后续项目方通过transactionId为21126的交易将验证者节点confirm通过的数量从2改为了4。
#资金追踪
本次攻击事件以太坊上损失了85,867个ETH，990个AAVE和78,500,000个AAG，BSC上损失了5,000个BNB和640,000个BUSD，共计约100,428,116美元，目前被盗资金还保存在攻击者地址。成都链安将用链必追对被盗资金进行持续追踪。
#事件总结
这次攻击事件中，攻击者利用了验证者节点验证通过需求数量较少的情况，利用两个验证者节点从而盗取了上亿美金的资产。建议项目方在设计验证者节点验证数量需求尽量选择较多节点，并且做好验证者节点的节点安全。此外建议项目上线前选择专业的安全审计公司进行全面的安全审计，规避安全风险。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。