BTC/HKD-0.32%
ETH/HKD-0.44%
LTC/HKD+1.91%
DOT/HKD-0.83%
ADA/HKD-0.41%
SOL/HKD-1.03%
XRP/HKD+1.27%
DOGE/US-1.33%前言
8月30日，知道創宇區塊鏈安全實驗室監測到以太坊上的DeFi協議CreamFinance遭遇重入漏洞襲擊，損失超1800萬美元。實驗室第一時間跟蹤本次事件并分析。
涉及對象
攻擊涉及合約地址：
0x38c40427efbaae566407e4cde2a91947df0bd22b
0x0ec306d7634314d35139d1df4a630d829475a125
Secret Network：已解決英特爾硬件漏洞帶來的風險:金色財經報道，Layer 1區塊鏈Secret Network的開發人員表示，他們解決了研究人員標記的安全問題，這些研究人員強調了英特爾硬件構成的漏洞，該網絡用于啟用隱私保護智能合約。?由于某些英特爾 SGX 芯片中稱為xAPIC或?PIC Leak的漏洞，Secret 承諾的隱私應用程序可能已受到損害。[2022/11/30 21:13:04]
受害涉及合約地址：
CErc20Delegator：0x2db6c82ce72c8d7d770ba1b5f5ed0b6e075066d6
安全團隊：新統計Crema Finance被黑客攻擊損失約880萬美元:7月4日消息，據CertiK安全團隊監測，北京時間2022年7月3日，Solana上的Crema Finance項目被黑客攻擊，目前最新統計數據發現損失約880萬美元。
Crema Finance是一個建立在Solana上強大的流動性協議，為交易者和流動性提供者提供各項功能。在發現黑客攻擊后，該項目方暫時終止了項目運行，以防止攻擊者從平臺上抽取更多資金。
CertiK的分析表明，在這次黑客攻擊中，攻擊者通過使用Solend協議中的6個不同閃電貸來利用合約。初步調查表明，攻擊者能夠存入和提取借來的代幣，并調用了如下三個函數來實現，“DepositFixedTokenType”，“Claim”以及“WithdrawAllTokenTypes”。通過調用”Claim \"函數，黑客能夠獲得額外的代幣。[2022/7/4 1:48:33]
CEther：0xd06527d5e56a3495252a528c4987003b712860ee
Cream添加1INCH、tBTC和OMG:DeFi借貸平臺Cream通過投票決定添加1INCH、tBTC和OMG。目前三者的抵押因子是0%，這意味著用戶可以存入1INCH、tBTC和OMG，但是不能夠把它們當做抵押品來獲得其他資產，抵押因子提升需要通過治理投票。[2021/1/21 16:41:35]
Amp：0xff20817765cb7f73d4bde2e66e067e58d11095c2
簡述攻擊流程
首先黑客通過合約0x38c4進行閃電貸借出啟動資金500ETH
Secret Network計劃為主網增加秘密合約功能:金色財經報道，開源區塊鏈協議Secret Network宣布計劃向其主網添加基于隱私的秘密合約。一旦社區通過提案，將在9月15日進行升級。據此前報道，區塊鏈項目開發團隊Enigma宣布將原本的隱私公鏈Enigma改名為“Secret Network”。[2020/9/1]
抵押ETH獲得憑證
通過合約0x38c4調用CErc20Delegator合約借出19,480,000AMP
通過重入漏洞繼續調用CEther合約借出355ETH
使用合約0x0ec3對合約0x38c4進行超額借貸清算
合約0x38c4轉移憑證給合約0x0ec3贖回約187ETH
歸還閃電貸
漏洞成因分析
獲利條件
borrowFresh函數在發生借貸時是先通過doTransferOut函數轉賬，再記錄最新變化
攻擊條件
doTransferOut函數包含的transfer函數會使用_callPostTransferHooks函數會回調調用合約的tokensReceived函數
總結
本次閃電貸安全事件主要是項目方在設計代幣時沒考慮到協議之間的兼容性引發的重入危機，其實在前段時間已經爆出擁有類似回調功能的ERC777代幣存在重入漏洞，如果項目方及時發現跟進，應該能減少甚至避免損失。
知道創宇區塊鏈安全實驗室再次提醒近期各鏈上頻頻爆發攻擊事件，合約安全愈發需要得到迫切重視，合約審計、風控措施、應急計劃等都有必要切實落實。
No.1機構報告 -01 A&TCapitalNFT生態架構近期AxieInfinity的各項數據非常亮眼：交易量,活躍用戶,協議費用收入,當然也包括其代幣價格.
1900/1/1 0:00:00近日,WAX區塊鏈宣布將于8月10日聯手世界知名攝影師ChristinaJansen及荷蘭NFT機構dMerch.io發行拳王阿里系列1數字收藏品,而就在不久前.
1900/1/1 0:00:00隨著比特幣價格保持著每日更高的低點模式,山寨幣價格正在走高,這是下跌趨勢可能即將結束的跡象。文：RAKESHUPADHYAY編譯：Zion責編：Karen比特幣的區間波動走勢似乎正在增加機構投資.
1900/1/1 0:00:00隨著比特幣的分散融資所有收益率的壓縮,熱錢現在正流入元宇宙板塊。IdleMystic—一款能夠一邊玩一邊賺錢的游戲正處在風口上,就像打開了虛擬世界的“潘多拉魔盒”,將赤裸裸的現實利益與游戲中的虛.
1900/1/1 0:00:002021年6月,巴西肉類加工巨頭JBSSA美國子公司JBSUSAHoldings遭受勒索軟件攻擊,導致公司負責加工全美近五分之一肉類供應量的多家工廠被關閉.
1900/1/1 0:00:00今天為大家帶來的項目是一個大概率能得到空投的項目—AladdinDAO。AladdinDAO是一個通過集體價值發現將加密投資從風險資本家轉移到群體智慧的去中心化網絡.
1900/1/1 0:00:00
比特幣價格
