黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado

今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。

CoW Swap更新攻擊細節：黑客利用外部solver耗盡結算合約，協議不受影響:2月7日消息，抗MEV去中心化交易協議CoW Swap更新攻擊細節，昨晚一黑客利用了一個外部求解器（solver）并用它來耗盡結算合約，該合約持有7天的協議費用，用戶不受影響，Cow Swap也不受影響，因為這個solver的bond將支付所有損失。[2023/2/7 11:52:36]

黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado:今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。[2022/3/13 13:54:09]

黑客利用YouTube劫持電腦挖掘門羅幣:近日，YouTube視頻網站用戶抱怨他們的反病程序在訪問YouTube時檢測到了加密貨幣挖掘代碼。據安全專家的研究發現，有黑客將一段惡意JavaScript注入網站和廣告中，用戶加載YouTube的時候，名為Cryptojacking的惡意代碼就會啟動，占用用戶80%的CPU性能來進行門羅幣挖礦。[2018/1/27]