Web3 安全事件一周盘点。

作者:慢雾安全团队,慢雾科技

概览

据慢雾区块链被黑档案库 (https://hacked.slowmist.io) 统计,2023 年 7 月 24 日至 30 日,共发生安全事件 7 起,包括 Palmswap、MetaLabz、Eralend、Carson、DefiLabs、Kannagi Finance、Curve Finance 等,总损失约 5963 万美元,原因涉及 Rug Pull、闪电贷攻击和重入锁故障等。

具体事件

Palmswap

2023 年 7 月 25 日,BSC 链上的 Palmswap 项目遭到攻击,攻击者获利超 90 万美元。据慢雾分析,本次攻击事件是由于核心函数的权限管控功能未开启,并且流动性代币的价格计算模型设计得过于简单,仅取决于金库中的 USDT 代币数量和总供应量,导致攻击者可以利用闪电贷来恶意操控价格以获取非预期的利润。7 月 28 日,Palmswap 发推表示 80% 的被盗资金已被返还,剩余的 20% 作为黑客的漏洞赏金。

MetaLabz

2023 年 7 月 25 日,MetaLabz 发推表示:“为了确保我们持有的供应,我们部署了一份未经审计的合约,但该合约已被利用。随后流动性攻击加剧了这一情况,总共造成略高于 400 BNB 的损失。” 据分析,原因在于授权检查被绕过。

Eralend

2023 年 7 月 25 日,据多位用户反映,Zksync 上的借贷协议 Eralend 遭受闪电贷攻击。7 月 26 日,EraLend 发布事件进展,表示攻击者操纵了预言机价格,导致 USDC 矿池被利用约 276 万美元。所有其他池保持安全且不受影响。攻击者使用多个桥将被利用的资金分散到各个链上的多个钱包中。

Carson

2023 年 7 月 27 日,BSC 生态 Carson 遭遇攻击,损失约 14.5 万美元。目前 Carson 代币价格下跌达 96%,攻击者已将窃取资产兑换为 600 枚 BNB 并转至 Tornado Cash。攻击者通过闪电贷反复调用 0x2bdf...341a 合约(非开源)中的 swapExactTokensForTokensSupportingFeeOnTransferTokens 函数,兑换成 BUSD 并销毁该货币对中的 Carson,然后反复抬高 Carson 的价格以获取利润。

DefiLabs

2023 年 7 月 28 日,BNB 链上的 DefiLabs 已跑路,带走约为 160 万美元。特权地址 0xee08 通过利用 vPoolv6 合约中的后门函数 withdrawFunds() 耗尽用户资金。DeFiLabs 在 Twitter 上声称,该平台在 “进行维护和更新” 时 “遇到了意外问题”。

Kannagi Finance

2023 年 7 月 29 日,zkSync Era 收益聚合器协议 Kannagi Finance 已 Rug Pull,其官推和官网前端均已失效。DeFiLlama 数据显示,在昨日 Kannagi Finance TVL 为 213 万美元,目前 TVL 已近归零,因而预计用户损失为 213 万美元。Kannagi Finance 合约代码并未开源验证。使用过该项目的用户应尽快取消授权。据 MistTrack 分析,目前攻击者已将 600.1 ETH 转入 TornadoCash。

Rug Pull(拉地毯/跑路)是最常见的骗局之一,当开发团队突然放弃一个项目并出售其所有流动性时,就会发生 Rug Pull。通常,新项目会将一些代币放入 DEX 作为流动性,项目可以选择将新代币直接放入流动资金池。随着这些新代币获得公众足够的关注,项目背后的人就会开始作恶,当有足够多的用户购买代币之后,他们就会快速出售代币并在交易平台里兑换成其他加密货币,短时间内的大规模抛售将会让代币价格迅速归零,这场 Rug Pull 阴谋也就此得逞。

Curve Finance/Alchemix/JPEG'd 等

2023 年 7 月 30 日,Curve Finance 发推称,由于重入锁出现故障,许多使用 Vyper 0.2.15 的稳定币池 (alETH/msETH/pETH) 遭到攻击。crvUSD 合约和其他资金池不受影响。截至目前,已造成 DeFi 借贷协议 Alchemix、DeFi 公共产品 JPEG'd、DeFi 合成资产 Metronome、跨链桥 deBridge、采用 Curve 机制的 Ellipsis Finance 与 CRV-ETH 交易对被攻击,累计损失约 5200 万美元。据 DeFiLlama 数据显示,Curve Finance TVL 跌至 18.69 亿美元,过去 24 小时跌幅为 42.5%。

其中,Alchemix 发推表示,Curve Finance 通知 Alchemix,由于 Vyper 的一个漏洞,他们的 alETH/ETH 池可能被攻击。Alchemix 迅速通过 AMO 合约从曲线池中移除 AMO 控制的流动性。该漏洞是在 Curve 池合约上执行的,Alchemix 智能合约没有受到任何攻击,资金安全。Alchemix 需要进行三项交易:从 Convex 撤回 LP 代币、从 Curve 池中提取 alETH、从曲线池中提取 ETH。第一项交易从 Convex 中解质押 LP 代币已执行,第二笔交易执行后,从曲线池中移除 8000 枚 ETH。曲线池中仍有 AMO 控制的约 5000 枚 ETH 流动性。在移除剩余流动性的过程中,alETH/ETH 曲线池被攻击。目前,alETH 储备损失约 5000 枚 ETH。

据 MistTrack 分析,Curve CRV/ETH Exploiter (0xb75...324) 初始资金来自 Binance。

同时,Curvefi: Deployer (0xbab...f67) 曾向 CRV/ETH Exploiter (0xb75...324) 发送过一条链上消息。

截止目前,CRV/ETH Exploiter (0xb75...324) 已将获利的 35.26 ETH、 7,193,401.77 CRV 和 7,680.49 WETH 全部转移到新地址 (0xB1C...148)。

其他

这里补充一个 7 月 22 日的事件。

2023 年 7 月 22 日,爱沙尼亚加密支付服务提供商 CoinsPaid 称其遭遇网络攻击,价值 3730 万美元的加密货币被盗。7 月 26 日,慢雾发推称,CoinsPaid、Atomic 与 Alphapo 攻击者或均为朝鲜黑客组织 Lazarus Group。

分析如下:

1)地址 TGG...1Ag 收到了从 TJF...3ym(与 Alphapo 事件有关)转移的大量 118,351,300 TRX。

2)TGG...1Ag 于 7 月 22 日从 Coinspaid 热钱包收到了资金,通过地址 TNM...Jem 和 TJ6...xuf 流出。

3)TNM...Jem 收到了来自 Atomic Wallet Exploiter 使用的地址 TJX...JQx 的资金(可能与 Lazarus/DPRK 有关)。

总结

本周安全事件的攻击原因多为闪电贷攻击。闪电贷 (Flash loan) 是一种去中心化金融的创新产品,允许用户在不提供任何抵押的情况下,在同一笔交易(一个区块)中完成借款和还款。由于一笔链上交易可以包含多种操作,使得开发者可以在借款和还款间加入其他链上操作。这也导致了闪电贷攻击的兴起。闪电贷本身的存在是没有漏洞的,但有心之人将其利用,以极低的成本撬动巨量资金,在多个协议间进行价格操纵或套利,就存在风险。慢雾安全团队建议 DeFi 项目方始终保持警惕并定期进行安全审计,跟踪和解决新的安全威胁和漏洞,最大程度地保护项目和资产安全。

免责声明:作为区块链信息平台,本站所发布文章仅代表作者及嘉宾个人观点,与 Web3Caff 立场无关。本文内容仅用于信息分享,均不构成任何投资建议及要约,并请您遵守所在国家或地区的相关法律法规。