[ميزة] قراصنة تجاوزوا مؤشرات الأداء الرئيسية؟

أساء بعض المتسللين استخدام مئات الملايين من الأموال في نظام سولانا البيئي واستفادوا منها بينما استغل آخرون نقاط الضعف في البورصات. في الوقت نفسه ، عانت بعض مشاريع Web3 أيضًا من تسرب المفاتيح الخاصة وهجمات القروض السريعة.

أظهر Beosin EagleEye Web3 Security Monitor أنه حتى وقت نشر هذا الخبر ، وقع ما مجموعه ثمانية حوادث أمنية من Web3 الأسبوع الماضي ، بتأثير تراكمي بلغ حوالي 120 مليون دولار أمريكي.

9 أكتوبر

1. تم اختراق Xave Finance ، مما أدى إلى زيادة قدرها 1000 ضعف في إصدار RNBW.

في 9 أكتوبر ، نشر المخترق عقدًا ضارًا أطلق عليه اسم executeProposalWithIndex () في عقد DaoModule 0x8f90 لتنفيذ عرض. محتوى الاقتراح هو استدعاء دالة mint () ، وإنشاء 100،000،000،000،000 RNBWs ونقل حقوق الملكية إلى المهاجم. أخيرًا ، استبدلها المخترق بـ xRNBW.

2. سحب بساط Jumpn Finance ، وسحب حوالي 1.15 مليون دولار أمريكي إلى عنوان المهاجم.

المهاجم (أو الفريق) يستدعي الوظيفة 0x6b1d9018 () لعقد 0xe156 لاستخراج جميع أصول المستخدم في العقد وتخزينها في عنوان المهاجم. في الوقت الحالي ، تم تحويل 2100 BNB (581،700 دولار) من الأموال المسروقة إلى Tornado.Cash ، ولا يزال المبلغ المتبقي 2058 BNB (571،128 دولارًا) مخزنًا في عنوان المهاجم.

11 أكتوبر

1. تم استغلال جسر السلسلة المتقاطعة QANplatform من خلال مفتاح خاص تم تسريبه وتم تصريف حوالي 1.89 مليون دولار أمريكي منه.

أولاً ، بدأ المخترق عملية نقل على BSC باستخدام العنوان (0x68e ..) ثم أطلق على وظيفة bridgeWithdraw في عقد الجسر عبر السلسلة BridgeQANX لنقل 1444169100 رموز QANX إلى عنوان المحفظة (0xF163 ...). تم تنفيذ هجوم ثانوي أيضًا مقابل 1431880339 رموز QANX. عنوان المتصل لهذين الهجومين هو نفسه منشئ عقد الجسر المتقاطع (0x68e ...) ، ومن ثم فمن المحتمل أن يكون هذا الهجوم بسبب تسرب المفتاح الخاص.

2. تمت مهاجمة عقد مبادلة Rabby Wallet حيث تم استدعاء وظيفة تبادل الرموز الخاصة بهم خارجيًا من خلال مكتبة عناوين OpenZeppelin. حقق المتسللون أكثر من 190 ألف دولار أمريكي.

تتيح مشكلة عدم حصانة المكالمات الخارجية في وظيفة المبادلة في RabbyRouter الحصول على إذن سهل لأي شخص لتحويل الأموال فقط عن طريق استدعاء الوظيفة. في الوقت الحالي ، شن المهاجمون هجمات على سلاسل مختلفة يعمل عليها Rabby ، بما في ذلك Ethereum و BSC chain و Polygon و Avax و Fantom و Optimistic و Arbitrum.

3. ضربت TempleDAO 2.36 مليون دولار أمريكي استغلال ، حوالي 4 ٪ من إجمالي قيمتها مقفلة (TVL).

تفتقر وظيفة ترحيل TempleDAO في عقد StaxLPStaking الخاص بهم إلى التحقق من الإذن. هذا يسمح لأي شخص بسحب StaxLP في العقد عن طريق استدعاء هذه الوظيفة. بعد الاستغلال الناجح ، استبدل المخترق جميع رموز StaxLP التي تم الحصول عليها مقابل ETH.

12 أكتوبر

1. تعرض مشروع رحلة اليقظة (ATK) لهجوم قرض سريع.

تم استهداف العقد الاستراتيجي لمشروع ATK عن طريق قرض سريع وتم أخذ كمية كبيرة من الرموز المميزة ATK من العقد. بعد ذلك ، قام المهاجم بتبادل جميع رموز ATK التي حصل عليها مقابل BSC-USD ، وتحويلها إلى BNB وإرسالها إلى Tornado Cash ، بإجمالي حوالي 120.000 دولار أمريكي.

2. تم اختراق منصة التداول Solana Defi ، Mango Markets ، من خلال التلاعب بالأسعار على رمز MNGO الأصلي ، مما أدى إلى خسارة 116 مليون دولار أمريكي للمتسللين.

استخدم المخترق حسابين بإجمالي 10 ملايين دولار أمريكي من الأموال الأولية.

في الخطوة الأولى ، أودع المهاجمون 5 ملايين دولار أمريكي في Mango Markets.

في الخطوة الثانية ، قام المهاجم بعد ذلك بإنشاء 483 مليون موقع PlacePerpOrder2 في سوق MNGO-PERP.

في الخطوة الثالثة ، تم التلاعب بسعر MNGO ، من 0.0382 دولارًا أمريكيًا إلى 0.91 دولارًا أمريكيًا ، عن طريق التداول مقابل مركزهم باستخدام حساب منفصل (الحساب 2).

يحتوي الحساب 2 الآن على 483 مليون * (0.91 دولار - 0.03298 دولار) = 423 مليون دولار ، مما سمح للمهاجم باقتراض 116 مليون دولار.

13 أكتوبر

1. تخسر FTX أكثر من 100 مليون XEN و 81 ETH في ثغرة أمنية لسرقة الغاز.

استخدم المتسللون رسوم الغاز التي دفعتها FTX لصك كمية كبيرة من XEN TOKEN.

استخدم المخترق عنوان محفظته الساخنة FTX لتحويل مبلغ صغير من الأموال إلى عنوان العقد الضار (0xCba9 ... 7FD3) واستخدم هذا العقد لاحقًا لإنشاء عقود من الباطن على دفعات.

نظرًا لأنه يتم إنشاء العديد من العقود في الهجوم بأكمله ، وفي كل مرة يتم فيها تنفيذ العقد من الباطن ، فإن العقد من الباطن سوف يدمر ذاتيًا ، لذلك يتم عرض الشكل التالي كمثال.

في الخطوة الثالثة ، ستبدأ الوظيفة الاحتياطية () للعقد من الباطن في طلب صك لعقد XEN $. تمرر وظيفة claimRank () (الصورة أدناه) في مصطلح (& gt ؛ = يوم واحد) لسك العملة ، ولا تتطلب سوى دفع رسوم الغاز للاتصال دون أي تكاليف أخرى مرتبطة بذلك.

وظيفة claimMintRewardAndShare () هي للمطالبة ، والتي تحدد فقط ما إذا تم الوصول إلى المصطلح أم لا (في هذه الحالة تم تعيينه ليوم واحد بواسطة المتسلل) ، ثم يمكن سحبه دون قيد أو شرط إلى أي عنوان. ومع ذلك ، في عملية الاستدعاء هذه ، يكون بادئ المعاملة هو عنوان محفظة FTX الساخن ، وبالتالي يتم دفع غاز عملية المكالمة بأكملها بواسطة عنوان محفظة FTX الساخن ، وعنوان XEN $ بالنعناع هو عنوان المهاجم.

البيانات الواردة أعلاه تأتي من Beosin EagleEye Web3 Security Monitor