安全公司：Punk Protocol被黑因其CompoundModel的Initialize函數未做重復初始化檢查

據慢霧區消息，去中心化年金協議 Punk Protocol 在公平啟動的過程中遭遇攻擊，慢霧安全團隊以簡訊形式將攻擊原理分享如下：

1.攻擊者調用CompoundModel合約的Initialize函數進行重復初始化操作，將合約Forge角色設置為攻擊者指定的地址。

2.隨后攻擊者為了最大程度的將合約中資金取出，其調用了invest函數將合約中的資金抵押至Compound中，以取得抵押憑證cToken。

3.最后攻擊者直接調用withdrawToForge函數將合約中的cToken轉回Compound獲取到對應的底層資產并最終將其轉給Forge角色。

4.withdrawToForge函數被限制只有Forge角色可以調用，但Forge角色已被重復初始化為攻擊者指定的地址，因此最終合約管理的資產都被轉移至攻擊者指定的地址。總結：本次攻擊的根本原因在于其CompoundModel的Initialize函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換Forge角色，最終造成合約管理的資產被盜。

總結：本次攻擊的根本原因在于其 CompoundModel 的 Initialize 函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換 Forge 角色，最終造成合約管理的資產被盜。

安全公司：AurumNodePool合約遭受漏洞攻擊簡析:金色財經報道，據區塊鏈安全審計公司Beosin EagleEye監測顯示，2022年11月23日，AurumNodePool合約遭受漏洞攻擊。

Beosin分析發現由于漏洞合約的changeRewardPerNode函數未進行驗證，導致攻擊者可以調用該函數進行任意值設置。

攻擊者首先調用changeRewardPerNode函數將每日獎勵值設置成一個極大數，接下來調用claimNodeReward函數提取節點獎勵，而節點獎勵的計算取決于攻擊者設置的rewardPerDay值，導致計算的節點獎勵非常高。而在這一筆交易之前，攻擊者便通過一筆交易(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)向合約存入了1000AUR，創建了攻擊者的節點記錄，從而使得攻擊者能夠提取出該節點獎勵。最終攻擊者通過該漏洞獲得約50個BNB($14,538.04)。[2022/11/23 8:01:04]

網絡安全公司報告：俄羅斯遭到加密惡意軟件攻擊數量最多:6月14日消息，隨著加密貨幣受到越來越多人的關注，試圖從中獲利的惡意軟件數量也有所增加。這種安全威脅始于2020年下半年，并在2021年持續。網絡安全公司ESET發布的報告指出，其監測的客戶設備中，受與加密貨幣有關的惡意軟件攻擊次數最多的是俄羅斯客戶，占比8.9%，其次是泰國和秘魯，占比分別為5.6%和5.3%。[2021/6/14 23:35:28]

安全公司Unit 42發現新惡意軟件Lucifer 可用于惡意挖礦和DDoS攻擊:安全公司Unit 42的研究人員發現一種新的惡意軟件“Lucifer”正在傳播，該軟件是某種舊的加密貨幣勒索軟件的變種。新的變體可用于惡意加密貨幣挖礦，但也可以用來進行DDoS攻擊。（Guru 3d）[2020/6/27]