ChainCatcher 消息，据 Cyvers Alerts 监测，Blast 生态项目 Bloom 出现合约漏洞，总损失达 60 万美元，攻击者已将所有被盗资金转移到 ETH 网络。

ChainCatcher 消息，安全机构 OpenZeppelin 发推称，Thirdweb 合约安全漏洞尚未被利用，该漏洞问题是特定模式的集成问题有关，与 OpenZeppelin 合约库中包含的实现无关。OpenZeppelin 仍将牵头评估社区中受影响的人员，并为其提供缓解策略，并在适当时候披露该漏洞。 对于 Thirdweb 用户，该团队已开发一个工具，用于检查通过其平台创建的合约是否受影响并执行迁移：https://mitigate.thirdweb.com。

ChainCatcher 消息，Web3 开发者平台 Thirdweb 在社交媒体发文表示，北京时间 11 月 21 日 10:00，发现 Web3 行业常用开源库中存在安全漏洞。这会影响 Web3 生态系统中的各种智能合约，包括 Thirdweb 的一些预构建智能合约。 根据迄今为止的调查，该漏洞尚未在任何 ThirdWeb 智能合约中被利用。但是，智能合约所有者必须对北京时间 11 月 23 日 11:00 之前在 ThirdWeb 上创建的某些预建合约采取缓解措施。受影响的预建合约包括但不限于 DropERC20、ERC721、ERC1155 （所有版本）和 AirdropERC20 

ChainCatcher 消息，Arbitrum 生态 DEX GMBL.COMPUTER 在 X 平台解释了今日签名密钥泄露事件的经过，称有人能够伪造“调用”并从其服务器获取签名，然后将该签名传递给合约，并从合约中提取了价值近 500 ETH（按当前价格约合 81.5 万美元）的 GMBL。 GMBL.COMPUTER 表示，这不是合约漏洞，目前团队已找到了问题的根源，密钥泄露是发生在链下的行为，团队已经掌握了攻击者的所有信息，并将开始追回资金。其将提供漏洞赏金，如果资金得以返还，则不会采取法律行动。

ChainCatcher 消息，区块链技术公司 ConsenSys 公开发布了用于智能合约测试的“Diligence Fuzzing(模糊测试)”工具。 据悉，新工具会生成“随机且无效的数据点”，以便在合约发布之前发现合约中的漏洞。该新工具过去以封闭测试版本提供，开发人员需要获得访问批准。自 8 月 1 日起，不再需要此审批流程。

ChainCatcher 消息，DefiLlama 创始人 0xngmi 发推特称，NFT 市场 Foundation 的 NFT 合约有一个漏洞，可以让基金会团队销毁几乎所有在其平台上铸造的 NFT。Foundation 的集合合约使用转发代理模式来节省部署的 Gas，这意味着所有集合调用一个单一的合约来使用它的代码不是问题，并且基金会的集合有一个功能，允许创建者在没有 NFT 的情况下销毁它，目前基金会团队的合约所有权由 6 个中的 2 个多重签名持有。 0xngmi 表示，修复方法可以通过在实施合约中铸造 1 个 NFT，然后将其转移到销毁地址来删除这个后门，但他在 6 个月前向基金会披露了这个问题，至今未修复。（来源链接）

ChainCatcher 消息，跨链互操作性协议 Celer Network 周三报告称，已修补由 Jump Crypto 首次发现的关于权益证明区块链 State Guardian Network （SGH）中的一个漏洞，这一漏洞一旦被利用，可能导致恶意验证节点提交大量欺诈性“投票”，从而导致网络状态改变。 Celer 强调，漏洞没有造成任何资金损失。该漏洞无法公开访问，在发现时也没有资金面临直接风险。此外，团队提议为 Jump Crypto 提供漏洞赏金。（The Block）

ChainCatcher 消息吗，去中心化交易所 Level Finance 遭遇安全漏洞，攻击者利用 Level Finance 智能合约中的“索赔倍数”漏洞从交易所窃取了超过 214000 个 LVL 代币，价值超过 100 万美元，并将 LVL 兑换成 3345 BNB。（来源链接）

ChainCatcher 消息，反网络钓鱼解决方案 Scam Sniffer 提醒称，仍有超 1200 个地址未撤销 SushiSwap 合约漏洞相关权限。（来源链接）

ChainCatcher 消息，派盾（PeckShield）监测显示，SushiSwap 的 RouterProcess2 合约似乎存在一个与 approve 有关的漏洞，导致 Frog Nation 前 CFO 0xSifu 损失约 1900 枚 ETH（超 330 万美元），如果用户批准过对应合约，请尽快移除权限。（来源链接）

ChainCatcher 消息，Coinbase 主管 Conor Grogan 发布推文表示，他在 ChatGPT-4 中插入一个实时以太坊智能合约，结果 AI 瞬间找到了安全漏洞，甚至还展示了如何利用这些漏洞进行攻击。 Conor Grogan 补充说，该合约的确在 2018 年被黑客利用漏洞攻击，此外他还透露也尝试了Euler 的智能合约，但由于合约过长而无法被 ChatGPT-4 处理，Conor Grogan 认为，AI 最终将使智能合约更安全、更容易构建。（来源链接）

ChainCatcher 消息，据 The Block 报道，非托管借贷平台 BonqDAO 和加密基础设施平台 AllianceBlock 因 BonqDAO 的智能合约漏洞而被黑客攻击，损失约 8800 万美元。其中黑客从 BonqDAO 的一个金库中移除了大约 1.14 亿 WALBT（AllianceBlock 的包装原生代币）、 9800 万 BEUR 代币，该金库由用户控制，用于铸造与欧元挂钩的支付代币 BEUR 。 目前该漏洞的技术原因尚不清楚，该黑客已经出售了大约 120 万美元的代币，但由于流动性不足，难以全部转换为稳定币或 ETH。 此外 AllianceBlock 表示该事件与 BonqDAO 金库无关，没有智能合约被破坏，两个团队都致力于消除流动性，以减轻黑客将被盗代币转换为其他资产的行为，并停止了所有交易所交易；AllianceBlock 还暂停了 AllianceBlock 桥的跨链桥接，直到情况得到解决。（来源链接）

ChainCatcher 消息，据多位用户反馈，基于 Optimism 的期权流动性聚合协议 Polynomial Protocol 存在漏洞，攻击者通过部署合约批量窃取了约 5000-6000 枚 USDC。 Polynomial 团队负责人回应：“攻击事件是几周前的事，团队已经通知了 discord 社区，要求大家取消授权。该合约地址不是核心合约，而是外部实用工具合约，如果有人受到影响，请填写表格并获得赔偿”。（来源链接）

ChainCatcher 消息，浏览器安全插件 Pocket Universe 表示，Opensea 旧合约上发现一个新漏洞，可用于窃取用户的 NFT，一旦签署交易就可能被清空钱包。它可以盗取用户在 2022 年 5 月之前（即 Seaport 升级之前）在 Opensea 上列出的任何 NFT。 Opensea 此前使用 Wyvern 协议来匹配订单，当用户上架 NFT 时会授予代理合约提取 NFT 权限（即通常的 setApprovalForAll 权限），所以这个代理合约有权撤回用户在 2022 年 5 月之前列出的 NFT。新的漏洞利用会诱使用户签署交易，让攻击者拥有用户代理合约的所有权，从而有权提取用户的 NFT。（来源链接）

ChainCatcher 消息，派盾（PeckShield）监测显示，以太坊闹钟（Ethereum Alarm Clock）智能合约被利用，允许攻击者通过设置更高的交易费用，收到比预期更多的 ETH 计价退款，正常情况下调用合约的用户只会收到略高于其交易费用的回报，目前该漏洞已导致约 204 枚 ETH 被盗取，价值约 26 万美元。 据悉，以太坊闹钟智能合约允许用户通过预先确定接收方地址、发送金额和交易时间来安排未来的交易。（来源链接）

链捕手消息，基于 Cosmos SDK 开发的全链式 DEX Sifchain 发推表示暂停网络的维护升级与运行，称在链上升级激活杠杆交易后，出现了用户流动性增多和移除资产的异常活动，但该漏洞的影响很快得到控制，许多获得额外资产的用户表示希望返还资金。 据悉，目前工程团队已经确定了重新启用网络和 DEX 的修复和前进路线图，且正在进行测试，此外 Engineering 正在对与该情况相关的交易和钱包进行分析。（来源链接）