RUB:慢雾分析Vee.Finance被攻击漏洞:预言机价格源单一且数据获取未进行小数处理

链捕手消息,安全分析机构SlowMist针对雪崩生态借贷项目Vee.Finance被攻击事件发布报告。分析称主要原因在于,在创建杠杆交易订单的过程中,预言机仅使用Pangolinpool的价格作为价格馈送源,而该池价格波动超过3%。预言机会刷新价格,导致攻击者操纵了Pangolinpool的价格。而操纵VeeFinance预言机价格和收购预言机价格没有进行小数处理,导致掉期前预期的滑点检查没有起作用。

慢雾:Rubic协议错将USDC添至Router白名单,导致已授权合约用户USDC遭窃取:12月25日消息,据慢雾安全团队情报,Rubic跨链聚合器项目遭到攻击,导致用户账户中的USDC被窃取。慢雾安全团队分享如下:1. Rubic是一个DEX跨链聚合器,用户可以通过RubicProxy合约中的routerCallNative函数进行Native Token兑换。在进行兑换前,会先检查用户传入的所需调用的目标 Router是否在协议的白名单中。

2. 经过白名单检查后才会对用户传入的目标Router进行调用,调用数据也由用户外部传入。

3. 不幸的是USDC也被添加到Rubic协议的Router白名单中,因此任意用户都可以通过RubicProxy合约任意调用USDC。

4. 恶意用户利用此问题通过routerCallNative函数调用USDC合约将已授权给RubicProxy合约的用户的USDC通过transferFrom接口转移至恶意用户账户中。

此次攻击的根本原因在于Rubic协议错误的将USDC添加进Router白名单中,导致已授权给RubicProxy合约的用户的USDC被窃取。[2022/12/26 22:07:00]

绕过对合约调用的检查,以及保证金交易的目标对未列入白名单是该次事故的间接原因。

欧易Web3钱包通过慢雾及OKLink安全审计,未将任何私钥或助记词上传服务器:8月18日,OKLink安全审计团队发布推文称经过审计,欧易Web3钱包未将用户的私钥或助记词上传外部服务器。此前,慢雾安全审计也已经发布同样安全审计结果。据欧易相关负责人介绍,其Web3钱包私钥或助记词完全本地加密存储,只有用户可以解密,不触网,无泄漏风险。

据介绍,欧易Web3钱包是最全面的异构多链钱包,包含数字货币钱包、链上交易、NFT 市场、DApp 探索4大板块。支持30+公链、1000+Defi协议。[2022/8/19 12:35:31]

此前9月20日,Vee.Finance遭遇攻击,价值超过3500万美元的资产被盗。慢雾表示,目前正在协助Vee.Finance进行攻击分析和黑客跟踪。

声音 | 慢雾安全团队:门罗币不小心创造了一个网络和平世界:据火讯财经报道,慢雾安全团队表示:“门罗币不小心创造了一个网络和平世界,因为其CPU/GPU算力友好,对抗职业矿机(比如ASIC芯片),且门罗是最早的一批,算是匿名币的龙头,地下黑客入侵大量服务器,以前是勒索、窃取机密,现在大规模做CPU挖矿,所发布的典型蠕虫病修补了相关漏洞入口,杀掉了蠕虫对手,安全加固了相关机制,然后它仅挖矿,不少企业入侵事件的发现不是因为发现蠕虫,而是发现服务器或主机卡了,这些蠕虫挖的主要就是门罗。”[2018/7/3]

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金星链

FTXLOC:Blocto:Web2.0用户进入Web3.0的钥匙

作者:路畅1989年,供职于CERN的物理学家蒂姆·伯纳斯-李创造一了将超文本系统与互联网结合在一起的项目。这是一个以超文本系统为基础的项目,方便研究人员分享及更新信息.

[0:0ms0-0:570ms