据慢雾安全团队情报，今日ETH链上的DFXFinance项目遭到攻击，攻击者获利约231,138美元。慢雾安全团队对此事件进行的分享如下：
1.攻击者首先调用了名为Curve的合约中的viewDeposit函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱；2.紧接着继续Curve合约的flash函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的flashCallback函数回调了合约的deposit函数进行存款；3.存款函数外部调用了ProportionalLiquidity合约的proportionalDeposit函数，在该函数中会将第二步中借来的资金转移回Curve合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证；4.由于利用重入了存款函数来将资金转移回Curve合约中，使得成功通过了闪电贷还款的余额检查；5.最后调用withdraw函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约2,283,092,402枚的XIDR代币和99,866枚USDC代币获利。
慢雾区“被黑档案库”新增Base分类:金色财经报道，Base链上项目发生多起被黑客攻击事件（包括 Rug pull），慢雾区“被黑档案库(SlowMist Hacked)”新增Base分类。[2023/9/7 13:24:38]
此次攻击的主要原因在于Curve合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。
慢雾安全提醒：Rabby钱包项目Swap合约存在外部调用风险，请迅速取消授权:金色财经报道，据慢雾安全团队情报,2022年10月11号,ETH链上的Rabby钱包项目的Swap合约被攻击,其合约中代币兑换函数直接通过OpenZeppelin Addresslibrary中的functionCallWith Value函数进行外部调用，而调用的目标合约以及调用数据都可由用户传入，但合约中并未对用户传入的参数进行检查，导致了任意外部调用问题。攻击者利用此问题窃取对此合约授权过的用户的资金。慢雾安全团队提醒使用过该合约的用户请迅速取消对该合约的授权并提取资金以规避风险。
截止目前，Rabby Swap事件黑客已经获利超19万美元，资金暂时未进一步转移。黑客地址的手续费来源是Tornado Cash 10 BNB，使用工具有Multichain、ParaSwap、PancakeSwap、Uniswap V3、TraderJoe。慢雾MistTrack将持续监控黑客地址并分析相关痕迹。[2022/10/11 10:31:18]
参考攻击交易：
EOS挖矿项目DMD.finance已通过慢雾审计 代码无已知漏洞:EOS上的质押类挖矿项目DMD.finance已经通过安全公司慢雾审计，综合评估合约代码无已知漏洞，目前3个代币池的合约账号权限为多签管理，项目方无法单方面更新合约。目前DMD.finance支持EOS、USDT、OGX、BOX质押挖矿。[2020/9/6]
https://etherscan.io/tx/0x6bfd9e286e37061ed279e4f139fbc03c8bd707a2cdd15f7260549052cbba79b7
此前，派盾曾报道称DFXFinanceDEX池疑似被攻击，损失约3000ETH，和上述分析数据有差异。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。