黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado

今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。

黑客利用惡意軟件Glupteba從比特幣區塊鏈中獲取秘密消息:Sophos Labs研究人員發現第一起利用比特幣的區塊鏈與指揮控制（C&C）中心通信的劫持代碼案件。“比特幣的‘交易’實際上并不一定是關于錢的—它們可以包括名為RETURN（也稱為OP_RETURN）的字段，這實際上是一個長達80個字符的備注。”這正是黑客在這種情況下所做的事情（如圖所示），返回的是一條加密的秘密消息，需要256位AES解密密鑰，該密鑰被編碼到Glupteba惡意軟件程序中。

Sophos研究人員已經進行解密，顯示一個域地址，這個地址就是隱藏在人們視線中的指揮和控制中心。他們表示，“這種‘隱藏在明處’的方式通常被稱為隱寫術。”目前還不清楚讓黑客知道是否是好的，因為現在他們可以把它放在圖像中。（Trustnodes）[2020/6/26]

動態 | 黑客利用比特幣漏洞造出2.35億枚PGN:據coindesk報道，鮮為人知的加密貨幣pigeoncoin(PGN)背后的開發人員證實，幾周前在比特幣代碼中發現的一個嚴重bug已被利用。據報道，一位不知名的礦工在9月26日成功利用了這個漏洞，得到了2.35億枚pigeoncoin（價值約15,000美元）。pigeoncoin的開發人員Michael Oates表示，許多加密貨幣，比如BCH和LTC現在已經升級，因此希望同樣的攻擊不會在其他加密貨幣上執行。[2018/10/3]

動態 | 警惕黑客利用Virobot惡意軟件執行勒索攻擊:降維安全實驗室關注到一款新的惡意軟件Virobot，它通過微軟Outlook以垃圾郵件的方式進行大肆傳播。一旦感染Virobot，它會通過隨機生成秘匙來加密用戶文檔，竊取諸如信用卡信息和密碼在內的諸多敏感數據。此外，Virobot還會將受害者數據通過POST發送到C&C服務器上。更多細節和緩解措施請聯系降維安全實驗室。[2018/9/24]