共有 377 条记录
事件描述:财经博主“超级比特币”在微博表示,废老师(微博用户名“废X废”)参与了流动性挖矿项目 Soda,突然发现有一个漏洞,里面有 2 万个 ETH 可以直接清算掉。但他选择了告诉开发组,但开发组并未重视。他只好选择清算了一个 ETH,并发微博警告,实操告诉开发者这个 Bug 的存在。一个小时后,Soda 协议方作出响应,分别提示借款人还款、抵押者提款的同时,表示将修复漏洞,暂停前端借款功能。但至 9 月 21 日凌晨,Soda 抵押借款池中仍有 400 多个 ETH 被恶意清算。当日上午,该协议官方在 Twitter 上称,漏洞已修复,新部署的智能合约预计 9 月 22 日 21 点生效。
损失金额:446 ETH攻击手法:未知
事件描述:据慢雾区情报,以太坊挖矿项目 LV Finance 项目疑似跑路不到一个小时已有 400 万被转走,与以往项目不同,该项目通过伪造虚假审计网站并提供虚假审计信息诱骗投资者进行投资,待一段时间后资金池内金额足够大时进行跑路。目前,该项目网站 lv.finance 已无法访问。
损失金额:$ 4,000,000攻击手法:跑路
事件描述:bZx 官方发推特称,在美东时间上午 3:28(北京时间 9 月 13 日 15:30),我们开始研究该协议 TVL 的下降。到美东时间上午 6:18(北京时间 9 月 13 日 18:30),我们确认几个 iToken 发生了重复事件。借贷暂时暂停。重复方法已从 iToken 合同代码中修补出来,并且协议已恢复正常运行。根据 Compound 创始人的信息,共有 260 万美元 LINK、160 万美元 ETH、380 万美元稳定币,总共 800 万美元资产受到影响。1inch 联合创始人 Anton Bukov 发推称攻击者在此次事件中盗取了约 4700 枚 ETH,并附上被盗资金地址。对此,bZx 回应称,资金目前没有风险。列出的那些资金已从我们的保险基金中扣除。9 月 16 日,bZx 发布 iToken 重复事故报告,攻击者已经归还全部资金。
损失金额:-攻击手法:重放攻击
事件描述:DeFi 用户 Amplify 发现了 DeFi 智能合约 SYFI 的一个漏洞,单笔交易就赚了 747 ETH,只不过是从其他用户那里拿到的。这个项目崩溃了。
损失金额:747 ETH攻击手法:未知
事件描述:推特账户名为 Amplify 的用户透露自己在新 DeFi 项目 Soft Finance 中因系统漏洞获利 25 万美元。
损失金额:$ 250,000攻击手法:未知
事件描述:九个 Chainlink 节点运营商遭到所谓“垃圾邮件攻击”,攻击者从他们的“热钱包”中获取了大约 700 枚 ETH(当时价值约合 33.5 万美元)。
损失金额:700 ETH攻击手法:垃圾邮件攻击
事件描述:推特上网友爆料称 DeFi 流动性挖矿项目 Degen.Money 利用双重授权漏洞获取用户资金。第一次授权给了质押合约,第二次授权给了转账权,会导致用户资金被攻击者拿走。YFI 创始人 Andre Cronje 表示该项目确实存在风险。
损失金额:-攻击手法:双重授权漏洞
事件描述:DeFi 项目 YFValue ( YFV )官方发布公告称,团队于昨日在 YFV 质押池中发现一个漏洞,恶意参与者借此漏洞对质押中的 YFV 计时器单独重置,1.7 亿美元资金存在被锁定风险。目前已有一名恶意参与者正试图以此漏洞勒索团队。
损失金额:$ 170,000,000攻击手法:质押池漏洞
事件描述:DeFi 流动性耕种匿名项目 BASED 官方宣布将重新部署质押池,官方发布推特称,有黑客试图将 “Pool1” 永久冻结,但尝试失败,而 “Pool1” 将继续按计划进行。目前抵押资金和 BASED 代币都是安全的。
损失金额:-攻击手法:未知
事件描述:2020 年 8 月 13 日,知名以太坊 DeFi 项目 YAM 官方通过 Twitter 发文表明发现合约中存在漏洞,24 小时内价格暴跌 99% ,导致了治理合约被“永久破坏”,价值 75 万美元的 Curve 代币被锁定而无法使用。由于 rebase 的时候取的是上一次的 totalSupply 的值,所以计算错误的 totalSupply 的值并不会立即通过 mint 作用到 initSupply 上,所以在下一次 rebase 前,社区仍有机会挽回这个错误,减少损失。但是一旦下一次 rebase 执行,整个失误将会变得无法挽回。
损失金额:$ 750,000攻击手法:合约漏洞
事件描述:链上期权平台 Opyn 披露其以太坊看跌期权被外部参与者恶意利用。Opyn 指出,除以太坊看跌期权外的所有其他 Opyn 合约均不受此漏洞的影响。攻击者双重利用 oToken 并窃取了看跌期权卖方的抵押资产。据 Opyn 统计,截至目前共有 371,260 枚 USDC 被盗。由于 Opyn ETH Put 智能合约中的行权函数 exercise() 没有对交易者的ETH 进行实时校验。根据 Opyn 平台的业务逻辑,看跌期权的买方给卖方转移相应价值的 ETH,即可获得卖方抵押的数字资产。狡猾的攻击者,先向自己发起伪装的交易,利用这笔 ETH 可以重复使用的特性,再次向卖方用户发起转账,进而骗取卖方已经抵押的数字资产。
损失金额:371,260 USDC攻击手法:合约漏洞
事件描述:Coingecko 研究人员 Daryllautk 发推称,VETH 在去中心化交易所 Uniswap 遭遇黑客攻击。黑客仅使用 0.9ETH 就盗走了 919,299 VETH (价值 90 万美元)。攻击事件发生后,VETH 官方表示,该合约被其放置在 transferForm() 中的 UX 改进所利用,这是他们的过错。他们将重新部署 vether4,并将补偿所有受影响的 Uniswap 质押者。此次攻击主要利用合约中 changeExcluded 函数的可见性为 external 且未有权限限制,用户可以直接进行外部调用为攻击创造了必要的条件。
损失金额:$ 900,000攻击手法:合约漏洞
事件描述:据 DeBank 推特表示,黑客再次利用 dYdX 的闪电贷攻击了 Balancer 部分流动性矿池中的 COMP 交易对,将池子中未领取的 COMP 奖励抽走,获利 10.8 ETH,约合 2408 美金。
损失金额:$ 2,408攻击手法:闪电贷攻击
事件描述:Balancer 流动性池遭闪电贷攻击,损失 50 万美金,Balancer 上遭遇损失的为 STA 和 STONK 两个代币池,目前这两个代币池的流动性已枯竭。STA 和 STONK 代币均为通缩代币,也就是说这种攻击仅影响通缩代币的流动性池。Balancer 上的通缩型代币和其智能合约在某些特定场景不兼容,使得攻击者可以创建价格偏差的 STA/STONK 流通池并从中获利。
损失金额:$ 500,000攻击手法:兼容性问题
事件描述:最近的研究中发现了恶意的 Web3 应用程序「网络钓鱼 dapp」,它们伪装成合法的应用程序或服务来窃取加密货币。比如,自 MakerDAO 正式关闭单抵押 Sai 系统以来,这类钓鱼工具开始出现,他们会伪装成需要一个新工具来帮助用户从 SAI 迁移到 DAI。比如某一域名提供了一个简单的界面,以 1:1 的比例开始从 SAI 迁移到新的 DAI,似乎就像官方通道一样。然而,实际上要签署的交易只是将 SAI 发送到攻击者拥有的一个地址。已经追踪到了超过 10 万美元的 SAI 被转移到了攻击者账户。
损失金额:$ 100,000攻击手法:钓鱼攻击
事件描述:去中心化跨链借贷平台 Atomic Loans 发表了漏洞披露和暂停新贷款请求的决定。决定表明,安全研究员 samczsun 私下披露了当前部署的合同和贷方代理中的两个漏洞。这两个漏洞都允许恶意借款人解锁其部分/全部 BTC 抵押品,而无需在特定情况下偿还其贷款。截至目前,这些漏洞均未被任何用户利用,并且该平台上没有资金受到影响。此外,在启动 v2 之前,平台已禁止任何借款人或贷方参与新贷款的功能。
损失金额:-攻击手法:未知
事件描述:DeFi 货币市场协议 DMM 官方推特表示,在公募期间其电报群遭到恶意劫持,攻击者冒名顶替了 DMM 基金会,目的是为了窃取资金。在仔细研究了链上交易找到受影响的人之后,官方以每枚 DMG0.40 美元的价格向受影响的人发送了总计 4 万美元的 DMG,希望确保所有资金损失的人都得到对应补偿。
损失金额:$ 40,000攻击手法:恶意劫持
事件描述:由于新的 Bancor 网络合约上未经验证的 safeTransferFrom () 函数,用户资金即将被耗尽。Bancor 团队表示:1. 两天前发布的新 Bancor Network v0.6 合约中发现了一个安全漏洞;2. 在发现漏洞之后团队进行了白帽攻击,以将资金转移到安全地址;3. 智能合约已完成审核。但还有 135,229 美元的资金被两个未知套利机器人抢先交易了
损失金额:$ 135,229攻击手法:未知
事件描述:在以太坊和比特币主网进行了大约 48 小时的测试之后,Keep 团队决定触发 TBTCSystem 合约允许的 10 天紧急存款暂停,该团队发现,当某些类型的比特币地址用于赎回时,存款合约的赎回流中出现了一个重大问题,它会使开放存款的签名者保证金面临清算风险,因此决定触发这一暂停。团队总结如下:1.首先,Keep 团队未能在新 commit 提出之后进行更多的测试。因此,团队错过了在开发过程中抓住这个问题的机会。2.在基于 dApp 的手动质量检查过程中,Keep 团队没有验证 UI 中的成功兑换是否导致了链上的关闭存款。结果导致团队错过了在手动质量检查过程中发现问题的机会。3.Keep 团队没有在赎回的入口点充分考虑输入验证。这是系统中相对较少的完全由用户控制的数据片段之一,因此应该是输入验证的首要考虑因素。4.Keep 团队没有花费足够的时间为单元测试生成比特币测试向量。
损失金额:-攻击手法:测试不足
事件描述:路印协议(Loopring)出现一个严重的前端错误,密钥素材被设置在一个 32 位整数的范围,可以穷举找出所有用户秘钥对。该漏洞由于用户的 EdDSA 密钥对实际被限制在了一个 32 位整数空间,导致黑客可以通过穷举,找出所有用户的 EdDSA 密钥对。受此影响,Loopring Exchange 关停半天进行维护升级。
损失金额:-攻击手法:系统设计缺陷