链闻消息，慢雾安全团队表示，在其中一笔Opyn合约的攻击中，攻击者仅使用272ETH最终得到467ETH。完整的攻击流程如下：攻击者使用合约先启动Opyn合约的reateERC20CollateralOption函数创建oToken。合攻击约调用运动函数，传入已创建库的地址。通过exercise函数中用于循环逻辑执行调用两次_exercise函数。exercise函数调用transferCollateral函数将USDC转给函数调用者。攻击合约调用removeUnderlying函数将预先定义的ETH转出。最终攻击者拿回了战斗补充的ETH以及额外的USDC。此次攻击主要是利用了_exercise函数中对vaultToExerciseFrom是否创建了vault的检查缺陷。此检查未纠正vaultToExerciseFrom是否是由参与者自己，而只是简单的检查是否创建了vault，导致攻击者可以任意重置已创建vault的地址来通过检查。
慢雾：警惕 Terra 链上项目被恶意广告投放钓鱼风险:据慢雾区情报，近期 Terra 链上部分用户的资产被恶意转出。慢雾安全团队发现从 4 月 12 日开始至 4 月 21 日约有 52 个地址中的资金被恶意转出至 terra1fz57nt6t3nnxel6q77wsmxxdesn7rgy0h27x30 中，当前总损失约 431 万美金。
经过慢雾安全追踪分析确认，此次攻击为批量谷歌关键词广告投放钓鱼，用户在谷歌搜索如：astroport，nexus protocol，anchor protocol 等这些知名的 Terra 项目，谷歌结果页第一条看似正常的广告链接（显示的域名甚至是一样的）实为钓鱼网站。 一旦用户不注意访问此钓鱼网站，点击连接钱包时，钓鱼网站会提醒直接输入助记词，一旦用户输入并点击提交，资产将会被攻击者盗取。
慢雾安全团队建议 Terra 链上用户保持警惕不要随便点击谷歌搜索出来的链接或点击来历不明的链接，减少使用常用钱包进行非必要的操作，避免不必要的资损。[2022/4/21 14:37:55]
慢雾：Multichain(AnySwap)被黑由于anySwapOutUnderlyingWithPermit函数相关问题:据Multichain(AnySwap)早前消息，2022年01月18日，一个影响6个跨链Token的关键漏洞正在被利用。慢雾安全团队进行分析后表示，此次主要是由于anySwapOutUnderlyingWithPermit函数为检查用户传入的Token的合法性，且未考虑并非所有underlying代币都有实现permit函数，导致用户资产被未授权转出。慢雾安全团队建议：应对用户传入的参数是否符合预期进行检查，且在与其他合约进行对接时应考虑好兼容性问题。[2022/1/19 8:57:49]
声音 | 慢雾分析：Upbit 可能遭遇了 APT 攻击:慢雾安全团队怀疑 Upbit 被盗 34.2 万 ETH 可能和之前一直在活动的 APT(高级持续性威胁)攻击有关，这种攻击的特点是长期潜伏，直到碰到可操作的大资金，一次性大笔盗走。因为年初 Upbit 就发现来自朝鲜的这类攻击行为。当然我们也不能排除内鬼可能性。此外，被盗的是 Upbit 的ETH 热钱包。冷钱包应该暂无风险。[2019/11/27]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。