SWAP:安全團隊：SUSHI RouteProcessor2 遭受攻擊，請及時撤銷對其的授權_BTC

金色財經報道，據慢霧安全團隊情報，2023年4月9日，SUSHIRouteProcessor2遭到攻擊。慢霧安全團隊以簡訊的形式分享如下：1.根本原因在于ProcessRoute未對用戶傳入的route參數進行任何檢查，導致攻擊者利用此問題構造了惡意的route參數使合約讀取的Pool是由攻擊者創建的。2.由于在合約中并未對Pool是否合法進行檢查，直接將lastCalledPool變量設置為Pool并調用了Pool的swap函數。3.惡意的Pool在其swap函數中回調了RouteProcessor2的uniswapV3SwapCallback函數，由于lastCalledPool變量已被設置為Pool，因此uniswapV3SwapCallback中對msg.sender的檢查被繞過。4.攻擊者利用此問題在惡意Pool回調uniswapV3SwapCallback函數時構造了代幣轉移的參數，以竊取其他已對RouteProcessor2授權的用戶的代幣。幸運的是部分用戶的資金已被白帽搶跑，有望收回。慢霧安全團隊建議RouteProcessor2的用戶及時撤銷對0x044b75f554b886a065b9567891e45c79542d7357的授權。

安全團隊：BSC鏈上Level Finance被盜資金目前仍存放在攻擊者地址內:金色財經報道，根據區塊鏈安全審計公司Beosin旗下的Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年5月2日BSC鏈上的Level__Finance 項目被攻擊，損失資金高達一百萬美元。通過分析代碼得知，攻擊者地址0x61bb...12e創建了攻擊合約0xf08a...629，隨后利用攻擊合約調用了被攻擊合約0x9770...63a的claimMultiple函數，由于被攻擊合約在users獎勵計算后沒有進行對應的users賬本清除，導致同一個epoch的claimed獎勵可以被反復領取。攻擊者多次調用函數使用同一個epoch來反復領取Level Token，隨后將領取的Level Token在多個pair中swap成3345個BNB(約109萬美元)，被盜資金目前仍存放在攻擊者地址內(0x70319d1c09e1373fc7b10403c852909e5b20a9d5)，Beosin將持續對被盜資金監控。[2023/5/2 14:38:03]

安全團隊：BXH被盜資金出現異動，超1700萬美元資金被跨鏈轉移到BTC網絡:9月4日凌晨（UTC+8），慢霧監控到 BXH 被盜資金出現異動，經慢霧 MistTrack 分析，異動詳情如下：

1/BSC 鏈，黑客地址 0x48c9...7d79 Approve Cake Token 給 PancakeSwap。

2/ETH 鏈，黑客地址 0x48c9...7d79 將 3987.78 WETH Withdraw 成 ETH。

3/ETH 鏈，黑客地址 0x4967...Eb35 使用 Uniswap、Curve 將 DAI 全部兌換為 renBTC 和 WBTC，兌換后總數分別為 858.0454 renBTC 和 795.2618 WBTC；其中 858.0454 renBTC（價值約 1701 萬美元） 已全部跨鏈到 BTC 鏈，跨鏈后地址為 1DYR...heSF，目前 BTC 暫未進一步轉移。

截止目前，BXH 被盜資金并沒有出現轉移到交易所的情況，全部被盜資金仍在黑客地址中。慢霧 MistTrack 將持續監控被盜資金的轉移。[2022/9/4 13:07:50]

安全團隊：DHE項目已被確認為Rug Pull跑路項目:金色財經消息，據CertiK安全團隊監測，DHE項目已被確認為Rug Pull跑路項目。

北京時間2022年6月21日凌晨6:27:17，DHE 代幣價格下跌超過91 %。目前損失總額約為14.2萬美元。[2022/6/21 4:41:46]

Tags：SWAPPOOLPOOBTCEDDASwappool幣價格LPOOL幣BTCπ

SHIB