FTX:黑客超額完成KPI？受影響金額約1.2億美元 本周Web3安全事件回顧_GAS

有黑客用一千萬“撬動”Solana 生態上億資金，也有黑客鋌而走險，薅起了交易所的羊毛，同時也有一些Web3項目遭遇私鑰泄露、閃電貸攻擊。

Beosin EagleEye Web3安全預警與監控平臺監測顯示，截止發稿時，本周共發生8起攻擊類相關的安全事件，累計受影響金額約1.2億美元，和Beosin安全團隊一起來盤點一下吧。

10月9日 

1. XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍

10月9日，XaveFinance項目遭受黑客攻擊，導致RNBW增發了1000倍。本次攻擊是攻擊者通過調用DaoModule合約的executeProposalWithIndex()函數執行了攻擊者的惡意提案，使得意外鑄造了100,000,000,000,000個RNBW，并將ownership權限轉移給攻擊者。最后黑客將其兌換為xRNBW。

The Block 研究總監：FTX被黑客攻擊為謠言:9月14日消息，The Block 研究總監Larry Cermak發布推特稱，FTX 被黑客入侵的謠言像野火一樣蔓延，是假的，不要關注它。此前，比特幣鏈上出現約 4.49 萬的大額比特幣在不斷流轉，通過交易明細可推斷出這批比特幣可能來自 FTX 交易所對錢包的一個聚合整理。FTX創始人SBF發布推特稱，“比特幣提款處理涉及將來自存款地址等的 UTXO 組合在一起，幾天前，我們將一些 UTXO 合并到一個地址中，以加快處理速度。”[2021/9/14 23:23:16]

2. Jumpnfinance項目發生Rugpull，涉及金額約115萬美元

Jumpnfinance項目Rugpull。攻擊者調用0xe156合約的0x6b1d9018()函數，提取了該合約中的用戶資產，存放在攻擊者地址上。目前被盜資金中2100 BNB ($581,700)已轉入Tornado.Cash，剩余部分2058 BNB（$571,128）還存放在攻擊者地址。

Block.on將于5月1日啟動EOSIO虛擬黑客馬拉松:金色財經報道，Block.one今天宣布將于5月1日正式啟動EOSIO虛擬黑客馬拉松“Coding for Change”，并呼吁使用區塊鏈技術解決方案來應對COVID-19之后世界面臨的新挑戰。該黑客馬拉松將持續到6月1日，獲勝者將獲得10萬美元獎金。注冊目前已經開放。[2020/4/24]

1. QANplatform跨鏈橋遭受黑客攻擊，疑似項目方私鑰泄露，涉及金額約189萬美元

本次事件交易的發起地址是一個疑似項目方的地址，攻擊者通過該地址調用跨鏈橋合約中的bridgeWithdraw函數提取QANX代幣，然后把QANX代幣兌換為相應平臺幣，目前被盜資金依然存放在攻擊者地址上。

動態 | 曾向蘋果公司進行加密貨幣勒索的黑客認罪，被判兩年監禁:早在2017年3月，The Hacker News和許多其他新聞媒體報道了一名黑客威脅要遠程清除3億部iPhone數據，并以此向蘋果公司勒索價值7.5萬美元的比特幣贖金。這名黑客聲稱，他在一封電子郵件中獲得了2億個iCloud賬戶，但在另一封電子郵件中，他聲稱獲得了3億個蘋果電子郵件賬戶，后來這個數字后又變為5.59億。盡管這件事前后充滿了矛盾，但最終當局設法找到了該名黑客，并確認他是Kerem Albayrak。現在，Albayrak承認了自己的罪行，并承認了勒索蘋果公司的指控。據近期報道，他承認自己是一個名為Turkish Crime Family的黑客組織的成員，并威脅要清除數百萬蘋果用戶的賬戶。在倫敦南華克刑事法庭的聽證會之后，Albayrak被判兩年監禁，緩期執行。此外，他還將面臨300小時的社區服務以及電子宵禁，這將持續6個月。（Bitcoinist）[2019/12/23]

動態 | 美國新貝德福德市曾遭受黑客攻擊 拒絕支付530萬美元BTC贖金并重建數據系統:馬薩諸塞州新貝德福德市在7月4日假期遭受破壞性勒索軟件攻擊。該市市長Jon Mitchell表示，“這次襲擊是RYUK病的變種，受害者需要支付贖金才能從攻擊者那里獲得解密密鑰。”這次攻擊沒有影響所有系統或中斷所有服務，7月5日返回工作崗位時，該市在隔離攻擊時保持系統關閉。 該市顧問通過提供的電子郵件地址聯系“匿名攻擊者”，并被告知如果市政府支付530萬美元的比特幣，將提供解密密鑰。該市提出了40萬美元的還價，被攻擊者拒絕。之后，該市IT團隊和網絡顧問實施了額外的軟件系統和協議，以防范進一步的攻擊，并更換了所有受影響的機器。然后，該市開始重建其數據系統，以繞開那些被攻擊封鎖的系統。[2019/9/7]

2. Rabby項目遭受黑客攻擊，請用戶取消對相應合約的授權

本次事件是因為RabbyRouter的_swap函數存在外部調用漏洞,導致任何人都可以通過調用該函數，將授權到該合約用戶的資金轉走。目前攻擊者已在Ethereum，BSC鏈，polygon，avax，Fantom，optimistic，Arbitrum發起攻擊，請用戶取消對相應合約的授權。

3. TempleDAO項目遭受黑客攻擊，涉及金額約236萬美元

本次事件是因為StaxLPStaking合約中的migrateStake函數缺少權限校驗，導致任何人都可以通過調用該函數提取合約中的StaxLP。攻擊者攻擊成功后，把獲得的全部StaxLP代幣兌換為了ETH。

1. Journey of awakening (ATK)項目遭受閃電貸攻擊

本次事件攻擊者通過閃電貸攻擊的方式攻擊了ATK項目的策略合約，從合約中獲取了大量的ATK代幣，之后攻擊者把獲得的全部ATK代幣兌換為約12萬美元的BSC-USD。

2. Solana 生態去中心化交易平臺 Mango遭遇黑客攻擊，影響高達 1.16 億美元。

黑客使用了兩個賬戶，一共1000萬USDT起始資金。

第一步，攻擊者向Mango市場存入了500萬USDC。

第二步，攻擊者在MNGO-ERP市場創建了一個4.83億的PlacePerpOrder2頭寸。

第三步，MNGO的價格被操縱，從0.0382美元到0.91美元，通過使用一個單獨的賬戶（賬戶2）對其頭寸進行對手交易。

賬戶2現在有4.83億*(0.91-0.03298美元)=4.23億美元，這使得攻擊者可以借出1.16億美元的資金。

1. FTX交易所遭到gas竊取攻擊

FTX交易所遭到gas竊取攻擊，黑客利用FTX支付的gas費用鑄造了大量XEN TOKEN。本次事件攻擊者通過FTX熱錢包多次少量的提取以太坊，FTX熱錢包地址會向攻擊合約地址多次轉入小額的資金，隨后會調用到攻擊合約的fallback()函數，通過該函數攻擊者向Xen合約發起鑄幣請求。而Xen合約僅需傳入一個時間期限，便可支持無成本鑄幣，只需支付交易Gas費，但在此次調用過程中，交易發起者為FTX熱錢包地址，所以整個調用過程的gas都是由FTX熱錢包地址所支付，而Xen鑄幣地址為攻擊者地址，達到攻擊的目的。

Beosin

企業專欄

閱讀更多

白話區塊鏈

金色財經Maxwell

NFT中文社區

CoinDesk中文

達瓴智庫

去中心化金融社區

金色薦讀

肖颯lawyer

CT中文

ETH中文

ForesightNews

Tags：FTX比特幣STAGASSQGL Vault (NFTX)比特幣價格STATIC0XGAS價格

Fil