安全事故

ChainCatcher 消息，因监测到 Polkadot 发生安全事故，Upbit 即刻起暂停 Polkadot（DOT）及其 AssetHub Polkadot 网络的充提服务。Upbit 将与项目方协作确保资产安全，待确认充提稳定性后另行通知恢复时间。在服务暂停期间，充值返还及提现地址注册程序也将同步暂停。

ChainCatcher 消息，币安创始人赵长鹏发文表示，自己通常不会批评其他行业参与者，但是 Safe 发布的事件报告使用模糊的语言来掩盖了问题。读完后，问题多于答案，暂时想到的问题包括： —“破坏 Safe {Wallet} 开发者机器”是什么意思？他们是如何破解这台特定的机器的？是社会工程、病毒等吗？ —开发者机器如何访问“Bybit 运营的账户”？一些代码从这台开发人员机器直接部署到 prod？ —他们是如何在多个签名者中欺骗 Ledger 验证步骤的？是盲签吗？还是签名者没有正确验证？ —14 亿美元是使用 Safe 管理的最大地址吗？他们为什么不针对其他人呢？ —其他“自托管、多签名”钱包提供商和用户可以从中学到什么？

ChainCatcher 消息，Onyx 在 X 平台发布协议货币市场事后分析，其中指出 Onyx 协议遭遇安全事故，一名恶意行为者利用漏洞抽走 VUSD，漏洞涉及 NFT 清算合约。 据悉，本次攻击的主要问题并不是 empty market，而是涉及 NFTLiquidation Contract 合约，XCN Staking 和 XCN Farming 并没有受到影响。

ChainCatcher 消息，CrowdStrike 创始人 George Kurtz 在 X 平台发文称，CrowdStrike 正积极与受到 Windows 主机内容更新缺陷影响的客户合作。Mac 和 Linux 主机未受影响，此事件并非安全事故或网络攻击，问题已被识别、隔离并已部署修复程序。CrowdStrike 建议客户访问支持门户获取最新信息，并通过官方渠道与 CrowdStrike 代表沟通。公司团队已全面动员，确保客户的安全和稳定。

ChainCatcher 消息，据慢雾发布的每周安全报告，上周（2024 年 6 月 3 日至 6 月 9 日）加密领域因安全事故总损失超过 880 万美元。其中： Loopring：由于安全漏洞破坏了 Loopring 智能钱包，损失 500 万美元。 Gemholic：在一次 rugpull 中损失 340 万美元，该项目在转移资金后消失了。 TLN 协议：由于合约漏洞，BNB Chain 上损失 28 万美元。 SteamSwap(STM)：由于合约漏洞，BNB Chain 上损失 10.5 万美元。 NCD：由于合约漏洞，BNB Chain 上损失 2 万美元。

ChainCatcher 消息，链上流动性协议 Kyber Network 发文称，KyberSwap Elastic 遭遇安全事故，作为预防措施，强烈建议所有用户立即提取资金，团队正在认真调查情况，并承诺定期通报最新情况。 其中，X 平台用户 Spreek 披露，DEX 聚合器和流动性平台 KyberSwap 在多个链上出现异常大额转出，疑似遭遇攻击，目前被盗总额约 4700 万美元。这些资金包括在 Arbitrum 上的 2070 万美元、 Optimism 上的 1500 万美元、以太坊上的 700万美元、 Polygon 上的 300 万美元以及 Base 上的 200 万美元。

ChainCatcher 消息，一用户 flippen.eth 在 X 平台发文称，自己将助记词存储于在线密码管理平台 LastPass 上，一夜之间从热钱包中丢失了 20 多枚以太坊，他表示：“这个问题似乎很普遍，如果你曾经使用过 LastPass，注意密码并放弃钱包以及存储在那里的助记词了。”

ChainCatcher 消息，Stars Arena 在安全更新中表示，团队已成功找回近乎 90% 的损失资金。此次安全事件是由一名个体所致，双方已达成协议。作为回报，Stars Arena 向此人支付了 10% 的赏金（26,610 AVAX）加上在跨链桥中丢失的 1000 AVAX，总计 27,610 AVAX。初步统计显示，Stars Arena 总共损失了 266,104 AVAX，目前已成功收回 239,493 AVAX。 此前报道， Stars Arena 攻击事件黑客于昨晚在链上留言称，“I would like to cooperate.”疑似希望与 Stars Arena 项目方取得合作以商议处理被盗资金。

ChainCatcher 消息，慢雾宣布发布 2023 年中期区块链安全和反洗钱报告。报告中指出，2023 年上半年共发生 185 起安全事件导致 9.2 亿美元损失，与 2022 年上半年发生 187 起事故，造成约 20 亿美元损失相比，损失同比减少 54%。 此外，慢雾表示尽管 2023 年上半年安全漏洞不断增加，但已出现 10 起被盗资金成功追回的积极趋势。在总共价值 2.32 亿美元的盗窃案中，有 2.19 亿美元被成功追回，其中三起案件全额退款。（来源链接）

ChainCatcher 消息，BitKeep CEO 发布公开信称，BitKeep 于 12 月 26 日遭到黑客攻击。现已查明事故根源，并设法追踪到盗窃地址，部分被盗资金已被冻结。目前仍在积极努力挽回用户损失。 在本次恶意攻击中，黑客利用并劫持了 BitKeep 网站上的BitKeep App 7.2.9 APK。通过恶意植入代码，修改后的 APK 导致用户私钥泄露，使黑客能够转移资金。 BitKeep CEO 表示，通过各渠道安装的 BitKeep 官方应用没有安全问题。但是，如果通过 BitKeep 网站下载 7.2.9 APK 或者已经更新到这个版本，需要尽快下载新应用、生成一个新的钱包地址并转移资金，私钥可能泄露。（来源链接）

链捕手消息，加密货币交易所Crypto.com发布被盗事件调查报告，称 1 月 17 日上午该交易所的风险监控系统检测到少数用户账户上的未经授权的活动，在这些账户中，未经用户输入 2FA 身份验证控制的交易正在获得批准，随后平台暂停了所有用户的提款功能。 Crypto.com表示，在大多数情况下，该交易所阻止了未经授权的提款，但仍有483 名用户账户资金被盗，实际上损失超过3300万美元，其中包括 4,836.26 ETH、443.93 BTC 和约 6.6 万美元的其他货币，目前所有受损失用户都得到了全额报销。 针对该事故，Crypto.com引入了额外的安全层，在用户注册新的白名单提款地址和首次提款之间增加了 24 小时的强制性延迟时间。用户将收到已添加提款地址的通知，以便他们有足够的时间做出反应和响应。（来源链接）

链捕手消息，据慢雾MistTrack调查，币安智能链上 (BSC) 去中心化交易协议 BXH 项目遭受攻击，被盗约 1.3 亿美金。黑客于 27 日 13 时 (UTC) 部署了攻击合约 0x8877，接着在 29 日 08 时 (UTC) BXH 项目管理钱包地址 0x5614 通过 grantRole 赋予攻击合约 0x8877 管理权限。30 日 03 时 (UTC) 攻击者通过攻击合约 0x8877 的权限从 BXH 策略池资金库中将其管理的资产转出。30 日 04 时 (UTC) 0x5614 暂停了资金库。因此 BXH 本次被盗是由于其管理权限被恶意的修改，导致攻击者利用此权限转移了项目资产。目前，初始黑客获利地址（BSC: 0x48c94305bddfd80c6f4076963866d968cac27d79）已将 4000 ETH 从 BSC 链转移到 ETH 链，接着将 300 BTCB 兑换为 renBTC 跨链到地址 （1Jw...9oU 和 1Fr...Vow）。 BXH 团队表示在⽕币⽣态链（ Heco）、OEC 以及以太坊上的资产处于安全状态，但出于安全考虑，官方暂时暂停了存取款服务。慢雾AML将持续监控被盗资金的转移，拉黑攻击者控制的所有钱包地址，提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。

链捕手消息，去中心化年金协议 Punk Protocol 在公平启动的过程中遭遇攻击，损失约400万美元，慢雾安全团队以简讯形式将攻击原理分享如下：   1. 攻击者调用 CompoundModel 合约的 Initialize 函数进行重复初始化操作，将合约 Forge 角色设置为攻击者指定的地址。   2. 随后攻击者为了最大程度的将合约中资金取出，其调用了 invest 函数将合约中的资金抵押至 Compound 中，以取得抵押凭证 cToken。   3. 最后攻击者直接调用 withdrawToForge 函数将合约中的 cToken 转回 Compound 获取到对应的底层资产并最终将其转给 Forge 角色。   4. withdrawToForge 函数被限制只有 Forge 角色可以调用，但 Forge 角色已被重复初始化为攻击者指定的地址，因此最终合约管理的资产都被转移至攻击者指定的地址。 总结：本次攻击的根本原因在于其 CompoundModel 的 Initialize 函数未做重复初始化检查，导致攻击者直接调用此函数进行重复初始化替换 Forge