Polygon生态项目GenomesDAO遭受黑客攻击，导致其LPSTAKING合约中资金被非预期的取出。慢雾安全团队分析如下：
1.由于GenomesDAO的LPSTAKING合约的initialized函数公开可调用且无权限与不可能重复初始化限制，攻击者利用initialized函数将合约的stakingToken设置为攻击者创建的虚假LP代币。
安全团队：SushiSwap项目疑似被攻击，损失约334万美元:金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，SushiSwap项目疑似被攻击，损失约1800ETH，约334万美元，Beosin安全团队正在对本次事件进行分析，建议有对0x044b75f554b886A065b9567891e45c79542d7357合约授权的用户尽快取消授权防止资金被盗。[2023/4/9 13:52:53]
2.随后攻击者通过stake函数进行虚假LP代币的抵押操作，以获得大量的LPSTAKING抵押凭证。
安全团队：批准未知来源的代币时请仔细检查交易的 gas limit:金色财经报道，据慢雾区情报，BSC 链上最近出现一个名为 GPT 的代币，合约地址为0x513C285CD76884acC377a63DC63A4e83D7D21fb5。当用户对该代币进行 approve 操作时，钱包会根据余额增大 gas limit，而该代币合约会使用用户的 gas 去铸造 CHI 代币，当合约收集够大量的 CHI 代币后，这个恶意代币合约的管理者就可以通过燃烧掉 CHI 代币获得合约摧毁时返还的 gas 补偿。
慢雾安全团队提醒用户在对未知来源的代币进行批准时仔细检查交易的 gas limit。[2023/3/28 13:31:05]
3.获得凭证后再次通过initialized函数将合约的stakingToken设置为原先真是的LP代币，随后通过withdraw函数销毁LPSTAKING凭证获取合约中真实的LP抵押物。
声音 | 慢雾安全团队针对USDT充值漏洞做出回应:据火讯财经报道，慢雾安全团队针对USDT充值漏洞做出了回应，他们表示：“关于 USDT ‘虚假充值’的事件，目前许多交易所也都发了公告声明说不存在该问题了，存在该问题的交易所也都获取了情报在第一时间修复了，目前应该已经不存在此问题了。我们一般不披露那些还没出现攻击事件的情报。比如单纯漏洞这玩意，挤挤总会有的，多重磅都可以搞个出来，没什么好说，但只要是事件，就代表已经发生，披露我们尽最大努力走负责任路线。我们在给甲方做安全时，会全面带入我们的情报网络，这种价值，似乎还不好量化，但懂的人，会很感激我们。”[2018/7/3]
4.最后将LP发送至DEX中移除流动性获利。
本次事件是因为GenomesDAO的LPSTAKING合约可被任意重复初始化设置关键参数而导致合约中的抵押物被恶意耗尽。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。