安全團隊：EtnProduct項目遭受閃電貸攻擊

8月5日，來自成都鏈安社區成員情報顯示，EtnProduct項目遭受閃電貸攻擊。成都鏈安安全團隊分析發現：攻擊者先利用閃電貸借入9,400個USDT，隨后攻擊者購買了一個NFT并把NFT掛入EtnProduct項目，由于在掛單時添加的流動性的代幣數量固定，以及把憑證幣發送給了調用者，攻擊者再銷毀憑證幣套出了流動性里606,091.527的U代幣，并調用UMarket項目的saleU函數把11,253.735個U代幣一比一轉換為USDT后歸還閃電貸，總共獲利約3,074美元和一個價值7,380美元的NFT，目前獲利資金仍然存放于攻擊者地址（0xde703797fe9219b0485fb31eda627aa182b1601e）上。后續成都鏈安鏈上資金追蹤平臺“鏈必追”將對此地址進行持續監控和追蹤。

其它快訊：

安全團隊：Audius項目惡意提案攻擊簡析，攻擊者總共獲利約108W美元:7月24日消息，據成都鏈安“鏈必應-區塊鏈安全態勢感知平臺”安全輿情監控數據顯示，Audius項目遭受惡意提案攻擊。成都鏈安安全團隊簡析如下：攻擊者先部署惡意合約并在Audius: Community Treasury 合約中調用initialize將自己設置為治理合約的監護地址，隨后攻擊者調用ProposalSubmitted 提交惡意85號提案并被通過，該提案允許向攻擊合約轉賬1,856w個AudiusToken，隨后攻擊者將獲得的AudiusToken兌換為ETH，總共獲利約108W美元，目前獲利資金仍然存放于攻擊者地址上（0xa0c7BD318D69424603CBf91e9969870F21B8ab4c）。[7/24/2022 10:00:56 AM]

安全團隊：Lonely Alien Space Club的Discord服務器遭入侵:7月15日消息，據CertiK監測，NFT項目Lonely Alien Space Club Discord服務器已被入侵，提醒用戶不要點擊鏈接、鑄造或批準任何交易。CertiK表示，該項目的釣魚鏈接已發布，與此前其監測的7次Discord黑客攻擊背后是同一個網絡釣魚站點，此人/組已經盜取200多個NFT，請勿在類似的網站鑄造NFT。[7/15/2022 9:51:53 AM]

安全團隊：Flurry Finance攻擊事件利用了RhoToken代幣的rebase機制:4月25日消息，Cobo區塊鏈安全團隊就Flurry Finance攻擊事件進行了分析，發現此次攻擊與經典的閃電貸操縱預言機的攻擊手段不同，而是利用了Flurry Finance中RhoToken代幣的rebase機制。漏洞的本質原因在于協議對RhoToken進行rebase時計算multiplier的公式中依賴于外部可控的數據（Bank中的token數量）。從而使攻擊者通過閃電貸的方式實現了對multiplier的操縱，進而獲利。雖然本次攻擊中使用到了偽造ERC20重寫approve方法再利用Rabbit Finance的StrategyLiquidate合約來執行任意代碼的技巧，但這個技巧涉及到的合約代碼本身其實并不存在安全問題。Cobo區塊鏈安全團隊提醒，開發者在進行項目開發時需要特別注意合約在計算資產數量、價格時是否有依賴外部某些可能被惡意操縱的數據。閃電貸操縱預言機的典型攻擊模式其實也是項目中依賴于DEX池內代幣價格進行了內部某些關鍵指標的計算導致的。

此前消息，2月22日，BSC鏈上的Flurry Finance遭到閃電貸攻擊，導致協議中Vault合約中價值數十萬美元的資產被盜。[4/25/2022 10:16:16 PM]