RUG:黑客被项目方直接“人肉”?Arbitrum链上Hope项目发生180万美元Rug Pull简析

2月21日,据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示,Arbitrum链上Hope Finance项目发生Rug Pull,也就是我们通常所说的“拉地毯似局”。

Beosin安全团队分析发现攻击者(0xdfcb)利用多签钱包(0x1fc2)执行了修改TradingHelper合约的router地址的交易,从而使GenesisRewardPool合约在使用openTrade函数进行借贷时,调用TradingHelper合约SwapWETH函数进行swap后并不会通过原本的sushiswap的router进行swap操作,而是直接将转入的代币发送给攻击者(0x957d)从而获利。攻击者共两次提取约180万美金。 

PeckShield:黑客在6月窃取了价值约227万美元的NFT,较上月下降23%:金色财经报道,PeckShield分析表示,黑客在6月窃取了价值约227万美元的NFT。较上月下降23%,上月为295万美元。这可以归因于底价下降。一半被盗NFT在盗窃发生后的三个小时内立即在各个市场上出售。Blur等著名NFT市场成为热点,近86%的非法资金被出售,其次是OpenSea,占13.76%。

与此同时,Bored Ape Yacht Club (BAYC)、Otherdeed、Mutant Ape Yacht Club、Azuki Elementals以及DeGods等NFT系列的底价均大幅下跌。从数字资产行业的整体表现来看,6月份是今年第二高的月份。黑客通过42次黑客攻击窃取了超过9200万美元。[2023/7/4 22:16:21]

攻击交易1:

因发现重大漏洞 ArmorFi向一白帽黑客支付150万美元赏金:2月5日消息,DeFi保险项目ArmorFi已向白帽黑客Alexander Schlindwein支付了150万美元的漏洞赏金。因为这名黑客发现了该协议的一个“关键漏洞”,且可能会导致该公司所有的承保资金被耗尽。(CoinDesk)[2021/2/5 19:00:56]

0xc9ee5ed274a788f68a1e19852ccaadda7caa06e2070f80efd656a2882d6b77eb(修改router合约的攻击交易)

攻击交易2:

0x322044859fa8e000c300a193ee3cac98e029a2c64255de45249b8610858c0679(447WETH)

攻击交易3:

动态 | 韩国网络安全公司:比特币价格回涨后,黑客攻击又活跃了:韩国网络安全公司Estsecurity称,近期因比特币价格回涨后,黑客对于虚拟货币用户以邮件的形式进行高级持续性威胁(APT)攻击。[2019/6/28]

0x98a6be8dce5b10b8e2a738972e297da4c689a1e77659cdfa982732c21fa34cb5(1061759USDC)

动态 | EOS竞猜游戏SKR EOS遭黑客攻击:14日凌晨,EOS竞猜游戏SKR EOS遭黑客攻击,攻击者创建多个小号(backstairs11到backstairs15等)并结合推块攻击成功攻击SKR EOS?并获利上千个EOS。此前在6月12日,成都链安态势感知系统检测到EOS竞猜类游戏SKR EOS遭到预攻击,有攻击者通过合约不断发起延时交易,尝试预先计算或者得到游戏合约的开奖参数。[2019/6/14]

在昨天的时候,Beosin Trace追踪发现攻击者已将资金转入跨链合约至以太链,最终资金都已进入tornado.cash。

Beosin也在第一时间提醒用户:请勿在0x1FC2..E56c合约进行抵押操作,建议取消所有与该项目方相关的授权。

有趣的一点是,项目方似乎知道是谁的,直接放出攻击者的信息。

该帖子声称黑客是一名名叫Ugwoke Pascal Chukwuebuka的尼日利亚人。尼日利亚国民参与该项目的情况尚不清楚,但他的实际身份受到社区成员的质疑。

紧接着,有推特用户分享了地图里搜索出来的地址,直接开启“人肉”模式。

据公开资料,Hope Finance的智能合约由一家不出名的机构审计。尽管标记了一些小漏洞,但该平台得出的结论是,Hope Finance的智能合约代码已“成功通过审计”,“没有提出警告”。

这也提醒我们,找正规安全审计公司的重要性。

根据Beosin2022年的年报数据,去年2022年共发生Rug pull事件超过243起,总涉及金额达到了4.25亿美元(FTX事件暂不计入)。

243起rug pull事件中,涉及金额在千万美元以上的共8个项目。210个项目(约86.4%)跑路金额集中在几千至几十万美元区间。

而Beosin也总结出Rug pull事件具有以下特点:

1. Rug周期时间短。大部分项目在上线后3个月内就跑路,因此大部分资金量集中在几千至几十万美元区间。

2 多数项目未经审计。有些项目的代码里暗藏后门函数,对于普通投资者而言,很难评估项目的安全性。

3. 社交媒体信息欠缺。至少有一半的rug pull项目没有完善的官网、推特账号、电报/Discord群组。

4 项目不规范。有些项目虽然也有官网和白皮书,但仔细一看有不少拼写和语法错误,有些甚至是大段抄袭。

5. 蹭热点项目增多。去年出现了各类蹭热点币种跑路事件,如Moonbird、LUNAv2、Elizabeth、TRUMP等,通常及其快速地上线又火速卷款而逃。

也因此,项目方和用户都需要做好安全防护。部分项目开发匆忙、未经审计就上线很容易遭受攻击。此外,除了合约安全、私钥/钱包安全,团队运营安全等还需要重视,有一个薄弱的领域都可能让项目方造成巨大损失。

Beosin

企业专栏

阅读更多

金色早8点

金色财经

Odaily星球日报

欧科云链

Arcane Labs

深潮TechFlow

MarsBit

澎湃新闻

BTCStudy

链得得

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金星链

[0:62ms0-1:508ms