据慢雾安全团队情报，ETH链上的DFXFinance项目遭到攻击，攻击者获利约231,138美元。慢雾安全团队以简讯形式分享如下：
1.攻击者首先调用了名为Curve的合约中的viewDeposit函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱
慢雾：过去一周Web3生态系统因安全事件损失近160万美元:6月26日消息，慢雾发推称，过去一周Web3生态系统因安全事件损失近160万美元，包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]
2.紧接着继续Curve合约的flash函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的flashCallback函数回调了合约的deposit函数进行存款
慢雾：Multichain(AnySwap)被黑由于anySwapOutUnderlyingWithPermit函数相关问题:据Multichain(AnySwap)早前消息，2022年01月18日，一个影响6个跨链Token的关键漏洞正在被利用。慢雾安全团队进行分析后表示，此次主要是由于anySwapOutUnderlyingWithPermit函数为检查用户传入的Token的合法性，且未考虑并非所有underlying代币都有实现permit函数，导致用户资产被未授权转出。慢雾安全团队建议：应对用户传入的参数是否符合预期进行检查，且在与其他合约进行对接时应考虑好兼容性问题。[2022/1/19 8:57:49]
3.存款函数外部调用了ProportionalLiquidity合约的proportionalDeposit函数，在该函数中会将第二步中借来的资金转移回Curve合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证
声音 | 慢雾：警惕“假充值”攻击:慢雾分析预警，如果数字货币交易所、钱包等平台在进行“EOS 充值交易确认是否成功”的判断存在缺陷，可能导致严重的“假充值”。攻击者可以在未损失任何 EOS 的前提下成功向这些平台充值 EOS，而且这些 EOS 可以进行正常交易。
慢雾安全团队已经确认真实攻击发生，但需要注意的是：EOS 这次假充值攻击和之前慢雾安全团队披露过的 USDT 假充值、以太坊代币假充值类似，更多责任应该属于平台方。由于这是一种新型攻击手法，且攻击已经在发生，相关平台方如果对自己的充值校验没有十足把握，应尽快暂停 EOS 充提，并对账自查。[2019/3/12]
4.由于利用重入了存款函数来将资金转移回Curve合约中，使得成功通过了闪电贷还款的余额检查
5.最后调用withdraw函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约2,283,092,402枚的XIDR代币和99,866枚USDC代币获利
此次攻击的主要原因在于Curve合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。