?Multichain(AnySwap)此前一个影响6个跨链Token的关键漏洞被利用，导致被盗取445ETH。慢雾安全团队分析了安全事件经过，
1.用户可以通过Multichain的AnyswapV4Router合约进行资金跨链操作，在进行资金跨链时用户需要将待跨链的代币授权给AnyswapV4Router合约。??
2.AnyswapV4Router存在anySwapOutUnderlyingWithPermit函数。此函数允许用户在链下进行授权签名，链上验证并授权的操作。在此函数中，其会先通过调用用户传入的Token地址的underlying函数来获取underlying代币地址(正常情况下用户传入的Token地址应该是anyToken，获取underlying代币应该是用户要跨链的资产，如anyUSDT与USDT)，随后通过underlying代币的permit函数进行签名检查与授权操作，授权完成后通过safeTransferFrom将代币转入anyToken合约中，最后通过_anySwapOut触发事件。??
慢雾：Let's Encrypt软件Bug导致3月4日吊销 300 万个证书:Let's Encrypt由于在后端代码中出现了一个错误，Let's Encrypt项目将在撤销超过300万个TLS证书。详情是该错误影响了Boulder，Let's Encrypt项目使用该服务器软件在发行TLS证书之前验证用户及其域。慢雾安全团队提醒：数字货币行业有不少站点或内部系统为安全目的而使用 Let's Encrypt 自签证书，请及时确认是否受到影响。如有影响请及时更新证书，以免造成不可预知的风险。用户可查看原文链接在线验证证书是否受到影响。[2020/3/4]
3.但由于anySwapOutUnderlyingWithPermit函数中未检查用户传入的token的合法性，且由于WETH代币不存在permit函数的同时实现了fallback函数，而permit函数接口也恰好没有返回值，因此在对WETH合约的permit函数进行调用时是不会抛出错误的。攻击者正是利用此问题构造了恶意的Token地址，使得anySwapOutUnderlyingWithPermit函数获取的underlying为WETH，将先前有将WETH代币授权给AnyswapV4Router合约的用户的WETH直接转移到攻击者恶意构造的Token地址中。??
声音 | 慢雾：99%以上的勒索病使用BTC进行交易:据慢雾消息，勒索病已经成为全球最大的安全威胁之一，99%以上的勒索病使用BTC进行交易，到目前为止BTC的价格已经涨到了一万多美元，最近一两年针对企业的勒索病攻击也越来越多，根据Malwarebytes统计的数据，全球TO B的勒索病攻击，从2018年6月以来已经增加了363%，同时BTC的价格也直线上涨，黑客现在看准了数字货币市场，主要通过以下几个方式对数字货币进行攻击：
1.通过勒索病进行攻击，直接勒索BTC。
2.通过恶意程序，盗取受害者数字货币钱包。
3.通过数字货币网站漏洞进行攻击，盗取数字货币。[2019/8/25]
此次主要是由于anySwapOutUnderlyingWithPermit函数未检查用户传入的Token的合法性，且未考虑并非所有underlying代币都有实现permit函数，导致用户资产被未授权转出。慢雾安全团队建议：应对用户传入的参数是否符合预期进行检查，且在与其他合约进行对接时应考虑好兼容性问题。??
声音 | 慢雾预警：ETC可能发生51%攻击:据慢雾区消息，Ethereum Classic（ETC） 疑似发生51%攻击，有不少区块发生回滚；但是Ethereum Classic官方说没什么问题。出于谨慎的态度，请相关交易所和个人注意关注，及时避险。[2019/1/7]
参考交易:https://etherscan.io/tx/0xd07c0f40eec44f7674dddf617cbdec4758f258b531e99b18b8ee3b3b95885e7d
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。