2022年12月2日，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，AnkStaking的aBNBc Token项目遭受私钥泄露攻击，攻击者通过Deployer地址将合约实现修改为有漏洞的合约，攻击者通过没有权限校验的0x3b3a5522函数铸造了大量aBNBc代币后卖出，攻击者共获利5500个BNB和534万枚USDC，约700万美元，Beosin Trace将持续对被盗资金进行监控。Beosin安全团队现将事件分析结果与大家分享如下。
据了解，Ankr 是一个去中心化的 Web3 基础设施提供商，可帮助开发人员、去中心化应用程序和利益相关者轻松地与一系列区块链进行交互。
Discord服务器已被入侵，黑客发布了网络钓鱼链接:金色财经消息，据CertiK监测，Starknet.id项目Discord服务器已被入侵，黑客发布了网络钓鱼链接。在团队重获其服务器的控制权之前，请勿点击任何链接。[2023/4/18 14:10:12]
攻击发生之后，Ankr 针对 aBNBc 合约遭到攻击一事称，「目前正在与交易所合作以立即停止交易。Ankr Staking 上的所有底层资产都是安全的，所有基础设施服务不受影响。」
攻击交易
0xe367d05e7ff37eb6d0b7d763495f218740c979348d7a3b6d8e72d3b947c86e33
DeFi借贷协议YEED遭受攻击，黑客获利百万却被永久锁定:4月22日消息，据欧科云链链上天眼监测，近期BSC上刚上线ZEED生态系统的DeFi借贷协议YEED遭受攻击，攻击者获利逾100万美元。
经链上天眼团队追踪分析，此次攻击，黑客将闪电贷借来的资金直接tranfer给YEED-USDT流动性池，触发其分配逻辑，其调用流动性池的skim接口，将池子原有的$YEED一并提取出来。黑客将skim出来的资产接收地址设置为流动性池地址，会自动再次触发transfer逻辑。攻击者用三个流动性池循环操作了300多次，最终将获利的$YEED资产转移到恶意合约，并兑换成USDT。
但较为乌龙的是，在攻击成功后的15秒后，黑客在还未将获利所得提走时便直接调用了合约的自毁函数，导致该笔资金将永远锁定在其攻击合约里。[2022/4/22 14:40:58]
攻击者地址
Alpha Finance状态更新：正在进行事后剖析及调查黑客地址:刚刚，Alpha Finance Lab发布状态更新，1.正在进行事后剖析。2.联系了一份交易所名单，将仍拥有所有资金的攻击者账户列入黑名单。3.与认识主要嫌疑人的各方合作。4.许多建设者正在调查黑客的IP地址等。
此前消息，2月13日，Cream.Finance疑似被攻击并被盗1.3万枚ETH，在这起事件中，攻击者向Alpha Homora Deployer发送了1000枚ETH。暂不能确定，Alpha Homora v2漏洞是否与Cream.Finance是同一起攻击事件，还是DeFi协议接连发生两起攻击事件。Alpha Finance Lab官方称Alpha Homora V2发现漏洞并已修复。[2021/2/14 19:42:42]
0xf3a465C9fA6663fF50794C698F600Faa4b05c777 (Ankr Exploiter)
白帽黑客攻击加密局数据库并将资金退还受害者:白帽黑客Harry Denley在成功侵入了一个加密货币网络钓鱼局的数据库后，成功截获了价值1.6万美元的ETH和DEC，并已将这些加密货币返还给其合法所有者。（Decrypt）[2020/7/24]
被攻击合约
0xE85aFCcDaFBE7F2B096f268e31ccE3da8dA2990A
1. 在aBNBc的最新一次升级后，项目方的私钥遭受泄露。攻击者使用项目方地址（Ankr: Deployer）将合约实现修改为有漏洞的版本。
动态 | 罗马尼亚黑客团伙成员因加密劫持等罪行被判刑:金色财经报道，根据一份新闻稿，罗马尼亚黑客团伙Bayrob Group的两名成员Bogdan Nicolescu和Radu Miclaus因涉嫌21种不同的电汇欺诈、、身份盗窃和其他罪行被分别判处20年和18年徒刑。该团伙还被指控开发加密劫持恶意软件，并利用该恶意软件在40万台受感染的计算机上挖掘加密货币，窃取了总计400万美元。[2019/12/10]
2.由攻击者更换的新合约实现中， 0x3b3a5522函数的调用没有权限限制，任何人都可以调用此函数铸造代币给指定地址。
3.攻击者给自己铸造大量aBNBc代币，前往指定交易对中将其兑换为BNB和USDC。
4. 攻击者共获利5500WBNB和534万USDC（约700万美元）。
由于Ankr的aBNBc代币和其他项目有交互，导致其他项目遭受攻击，下面是已知项目遭受攻击的分析。
Wombat项目：
由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击，导致增发了大量的aBNBc代币，从而影响了pair（0x272c...880）中的WBNB和aBNBc的价格，而Wombat项目池子中的WBNB和aBNBc兑换率约为1:1，导致套利者可以通过在pair（0x272c...880）中低价购买aBNBc,然后到Wombat项目的WBNB/aBNBc池子中换出WBNB，实现套利。目前套利地址（0x20a0...876f）共获利约200万美元，Beosin Trace将持续对被盗资金进行监控。
Helio_Money项目：
套利地址：
0x8d11f5b4d351396ce41813dce5a32962aa48e217
由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击，导致增发了大量的aBNBc代币，aBNBc和WBNB的交易对中，WBNB被掏空，WBNB价格升高。套利者首先使用10WBNB交换出超发后的大量aBNBc.之后将aBNBc交换为hBNB。以hBNB为抵押品在Helio_Money中进行借贷，借贷出约1644万HAY。之后将HAY交换为约1550万BUSD，价值接近1亿人民币。
针对本次事件，Beosin安全团队建议：1. 项目的管理员权限最好交由多签钱包进行管理。2. 项目方操作时，务必妥善保管私钥。3. 项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
Beosin
企业专栏
阅读更多
金色早8点
金色财经
去中心化金融社区
CertiK中文社区
虎嗅科技
区块律动BlockBeats
念青
深潮TechFlow
Odaily星球日报
腾讯研究院
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。