链闻消息，慢雾区针对币安智能链上DeFi项目AutoSharkFinance被黑分析称，由于AutoShark策略池的机制，攻击者需要事先存入一定数量的LP代币到策略池中，为后续攻击做准备。整个攻击其实分成了2步，第2笔攻击交易的具体攻击步骤如下：1.攻击者从Pancake的WBNB/BUSD交易对中借出大量WBNB；2.将第1步借出的全部WBNB中的一半通过Panther的SHARK/WBNB交易对兑换出大量的SHARK，同时池中WBNB的数量增多；3.将第1步和第2步的WBNB和SHARK打入到SharkMinter中，为后续攻击做准备；4.调用AutoShark项目中的WBNB/SHARK策略池中的getReward函数，该函数会根据用户获利的资金从中抽出一部分手续费，作为贡献值给用户奖励SHARK代币，这部分操作在SharkMinter合约中进行操作；5.SharkMinter合约在收到用户收益的LP手续费之后，会将LP重新拆成对应的WBNB和SHARK，重新加入到Panther的WBNB/SHARK交易池中；6.由于第3步攻击者已经事先将对应的代币打入到SharkMinter合约中，SharkMinter合约在移除流动性后再添加流动性的时候，使用的是SharkMinter合约本身的WBNB和SHARK余额进行添加，这部分余额包含攻击者在第3步打入SharkMinter的余额，导致最后合约获取的添加流动性的余额是错误的，也就是说SharkMinter合约误以为攻击者打入了巨量的手续费到合约中；7.SharkMinter合约在获取到手续费的数量后，会通过tvlInWBNB函数计算这部分手续费的价值，然后根据手续费的价值铸币SHARK代币给用户。但是在计算LP价值的时候，使用的是PantherWBNB/SHARK池的WBNB实时数量除以LP总量来计算LP能兑换多少WBNB。但是由于在第2步中，Panther池中WBNB的数量已经非常多，导致计算出来的LP的价值非常高；8.在LP价值错误和手续费获取数量错误的情况下，SharkMinter合约最后在计算攻击者的贡献的时候计算出了一个非常大的值，导致SharkMinter合约给攻击者铸出了大量的SHARK代币；9.攻击者后续通过卖出SHARK代币来换出WBNB，偿还闪电贷。然后获利离开。9.攻击者后续通过卖出SHARK代币来换出WBNB，偿还闪电贷。然后获利离开。
慢雾科技启富：去中心化钱包安全核心在于私钥、助记词的存储及加密:11月6日消息，慢雾科技合伙人启富在做客《HyperPay焦点》栏目时提及：去中心化钱包的安全涉及到很多方面，最核心的是对私钥、助记词的存储及加密。用户在选择钱包时尽量选择国际知名、一流的钱包，同时注意看钱包App的代码是否开源、代码是否经过安全审计、团队内是否有CSO或安全负责人，这些都可能影响到钱包不断迭代、升级过程中的安全是否有保障。同时，作为用户一定要从钱包的官网下载App，避免误入钓鱼网站下载到被植入了后门的钱包App。[2020/11/6 11:51:30]
动态 | 慢雾区块链攻防对抗总结：11 月数据泄露趋势愈发普遍:据慢雾 BTI 系统监测发现，暗网中陆续出现区块链相关的数据泄露情报，包括：GateHub 140 万用户信息、数字货币交易所用户信息等，此前 BitMex 也因工作失误导致大量用户邮箱信息泄露。11 月另一个重大安全事件是韩国交易所 Upbit 被黑导致 34.2 万 ETH 从热钱包中被盗，慢雾安全团队怀疑该事件可能和 APT(高级持续性威胁)攻击有关，这种攻击的特点是长期潜伏，直到碰到可操作的大资金，一次性大笔盗走。
过去数月，慢雾 BTI 系统还曾披露假充值漏洞攻击、供应链攻击、提币地址劫持替换攻击等，慢雾安全团队在此提醒各项目方，做好安全漏洞自查，进一步增强人员安全意识及平台风控体系，必要时可联系专业的区块链安全公司寻求帮助，避免遭受损失。（IMEOS）[2019/12/1]
动态 | 慢雾区：警惕假冒门罗币分叉的 Monero Rings:据慢雾区消息，需警惕假冒门罗币分叉的 Monero Rings(monero-rings.org)，其钱包存在明显的恶意行为，通过空投诱导门罗币持有者在其钱包(myxrmwallet.com)输入助记词或相关私钥，并偷偷上传，以此完成盗币目的。整个攻击的准备工作至少实施了一个月，各方面都做了精心设计，容易被误认为是一个计划长期运营的门罗分叉币，但实际上却是个钓鱼陷阱。慢雾区提醒用户，私钥即身份，需谨慎对待自己的私钥。[2019/3/1]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。