漏洞攻击

ChainCatcher 消息，据慢雾预警，已检测到两名攻击者在 BSC 链上复制近期 Notional Finance 漏洞攻击手法。攻击者已完成前期准备，利用相同漏洞模式创建了恶意 fCash 仓位。目前攻击尚未完全执行，恶意仓位正等待到期。一旦到期，攻击者可能结算仓位并从协议中提取资产。慢雾强烈建议受影响项目立即采取缓解措施，在仓位到期前完成防护。

ChainCatcher 消息，Balancer 表示，团队已向与 8 月 31 日 Balancer V1 漏洞攻击有关的钱包发送链上消息，提出归还被盗资金换取赏金的方案，并承诺在满足条件后不因归还行为本身追究法律责任。若对方未在 9 月 9 日 5 点前回应，Balancer 将采取技术、链上及法律措施追踪攻击者。该事件损失约 23.4 万美元。

ChainCatcher 消息，Ajna 表示，协议遭漏洞攻击，目前正在调查异常资金流动，建议用户取出全部资金、偿还贷款并暂停与协议交互。此次事件涉及 syrupUSDC、wstETH、rETH、cbETH、WBTC、WETH/USDC、sDAI 等资金池，损失约 77.5 万美元，归因于清算会计操纵攻击。

ChainCatcher 消息，据 TAC 监测，TAC 表示，正在调查一起针对其基于 Cosmos 的 EVM 侧的漏洞攻击事件，此次事件仅影响 TAC 代币供应。团队正与 TAC 验证者协作，临时暂停区块链运行，后续将及时更新调查结果及链恢复计划，并建议用户仅通过官方渠道获取最新消息。

ChainCatcher 消息，跨链收益协议 BounceBit 发布安全事件公告称，其区块链网络于 8 月 19 日 21:02 UTC 至 8 月 20 日 01:54 UTC 期间遭遇协议级漏洞攻击，攻击者利用 Evmos 底层架构中的授权缺陷，在未经账户所有者授权的情况下转移 9 个主网账户中的 BB 代币。根据公告，攻击者通过 14 笔交易共转移约 2.865 亿枚 BB。 事件影响范围仅限 BounceBit Chain 本身，未涉及私钥泄露、签名伪造、钱包、硬件设备或交易所账户安全问题。BounceBit CeDeFi Strategy、Promo Vaults、Prime 及 RWA 产品均未受到影响。 BounceBit 表示，漏洞源于 Evmos 架构中的协议原生模块授权验证缺陷。攻击者通过智能合约调用相关模块时，绕过了本应验证资金来源账户授权关系的安全检查，使其能够指定任意账户作为资金来源。 事件发生后，BounceBit Chain 在区块高度 20,702,857 处停止出块，随后团队决定不进行链升级，而是永久关闭 BounceBit Chain，并将 BB 重新发行为基于 BNB Chain 的 BEP-20 代币。BounceBit 表示，新 BB 代币供应将基于首次异常转账前的链上快照（区块高度 20,697,260），攻击者转移的 286,543,148 枚 BB 不会被计入新代币余额。 用户无需提交申请或迁移钱包，官方计划将新 BB 自动分发至对应 BNB Chain 地址。对于质押中的 BB，BounceBit 称将在快照时间点一并恢复，持币用户无需执行解绑或赎回操作。目前，BounceBit 已向相关交易所提交冻结及协助请求，并提醒用户警惕诈骗，不要点击任何未经官方确认的 BB 迁移或领取链接。团队表示，后续将公布新的 BEP-20 BB 合约地址及重发行进展。

ChainCatcher 消息，据 Galaxy 研究主管监测，其已与 190 多名 Coldcard 漏洞攻击受害者沟通，并请尚未与其联系的受害者通过私信联系，以便其提供追踪信息，协助向相关机构报告损失。 8 月 6 日以来，尚无新的攻击事件得到确认，但这并不意味着不会发生新的攻击，需保持警惕。

ChainCatcher 消息，据 Decrypt 报道，比特币支付处理项目 BTCPay Server 警告用户，其服务器存在一个正在遭受主动攻击的严重漏洞，攻击者可能利用该漏洞获取未授权访问权限并导致资金损失。要求管理员立即升级至 2.4.2 版本，并确认服务器页脚显示更新完成。若无法及时升级，官方建议用户暂时关闭 BTCPay Server，以防止进一步攻击。此外，BTCPay Server 建议用户更换可能暴露的 macaroons 凭证，重新创建 macaroons.db 文件，并刷新其他闪电网络后端的认证字符串。

ChainCatcher 消息，据 Bitcoin News 监测，Chainalysis 表示，对超过 3800 万美元的 Coldcard 漏洞利用事件分析显示，攻击者先刻意针对价值最高的钱包，包括一个持有 180 万美元的钱包，表明受害者在资产转移开始前已被画像。约 3000 万美元在最初 10 分钟内被盗，随后约 500 个钱包在 25 分钟内被转空。Block 的 Clay Garrett 表示，调查人员还确认，攻击者在操作期间使用某知名区块链服务提供商的付费账户查询受害者地址。该提供商的内部日志与请求时间和顺序相匹配，但 Block 表示未发现该公司知情协助盗窃的证据。相关信息已与当局共享。

ChainCatcher 消息，据链上分析师 PeckShield (@PeckShieldAlert) 监测，Solido Money 协议遭遇漏洞攻击，约 2.937 亿枚 SUPRA 被盗，其中约 2.2 亿枚 SUPRA 已被转入疑似 Gate 交易所的存款地址。据 Solido Money 官方报告，约 90% 的受损资金属于基金会持有。

ChainCatcher 消息，据链上分析师 Onchain Lens (@OnchainLens) 监测，Summer Fi 漏洞攻击者已转移大部分被盗资金。攻击者于 7 月 6 日从该漏洞中获取 601.7 万枚 DAI，随后持续通过 Tornado Cash 进行资金混币与转移。目前两个相关地址仍残留少量资金：原始钱包（0x7bf7...bdca）剩余 11.3 枚 ETH（约 2.16 万美元），第二钱包（0x46e0...eba7）剩余 282.9 枚 ETH（约 54.35 万美元）。

ChainCatcher 消息，链上侦探 ZachXBT 发文表示，跨链协议 TeleSwap 于 7 月 15 日遭受约 73.5 万美元漏洞攻击，事发后其比特币热钱包随即停止处理交易。截至目前事发已五天，项目方仍未就此事件发出任何公开披露。ZachXBT 表示，约两小时前攻击者已将被盗资金转入 Tornado Cash。

ChainCatcher 消息，Starknet AMM 协议 mySwap 发文披露，其 mySwap CL 协议遭遇漏洞攻击，导致流动性池中约 30 万美元被抽走。官方表示，mySwap 接口已关闭超过 6 个月，不再接受新的流动性注入，受损资金主要为分散在 10 万多个仓位上的剩余 LP 头寸。攻击者利用桥接窃取的资金，并使用 Railgun 混淆了资产流向。此次攻击几乎耗尽了协议中所有剩余流动性。

ChainCatcher 消息，Aztec 基金会在 X 平台发文称，已获悉 Aztec Connect 早些时候发生潜在漏洞攻击。该产品与 AZTEC ERC20 代币相关智能合约及当前 Aztec 网络之间没有关联。Aztec Connect 已于三年前弃用，Aztec Labs 对该系统不再保留任何控制权，无法暂停或升级该系统。此前消息，Aztec Router 合约疑似遭攻击，约 219 万美元资产被转出。

ChainCatcher 消息，BitMEX 联合创始人、Maelstrom 基金 CIO Arthur Hayes (@CryptoHayes) 发文表示，因 ZEC 的 Orchard Pool 遭遇漏洞攻击，其已清仓全部 $ZEC 持仓。 Hayes 指出，尽管恶意铸币的可能性极低，但无法在密码学层面正式证明其不可能发生；隐私叙事要求的是“完美”而非“大概率安全”。他同时表示，若后续假设被证伪，不排除以更低价格重新买入。目前其团队仍持有 $WLD 仓位，维持看多态度。

ChainCatcher 消息，Tether 支持的移动钱包 Oobit 在 X 平台发文澄清，此前 “链上侦探” ZachXBT 披露稳定币发行方 StablR 两个智能合约（EURR 与 USDR）遭遇约 1,350 万美元漏洞攻击后，相关资金曾试图通过 Oobit 进行退出，但其合规团队已识别异常行为并成功冻结价值六位数的 EURR 资金，同时并关闭了退出通道，此次事件未影响任何用户资金，Oobit 自身系统也未遭入侵，正与 StablR 及调查人员合作推进后续处理。此前消息，StablR 遭黑客攻击损失约 2,800 万美元，EURR 与 USDR 双双脱锚。

ChainCatcher 消息，据 Cointelegraph 报道，跨链协议 ZetaChain 披露，其近期约 33.4 万美元漏洞攻击事件所涉及的安全问题，曾在漏洞赏金计划中被研究员提前报告，但当时被项目方视为“预期行为”而未处理。 根据官方发布的事故复盘，本次攻击源于三个原本看似独立、风险较低的设计缺陷组合：Gateway 合约允许任何人发送任意跨链指令；接收端几乎可对任意合约执行调用，且黑名单限制过于狭窄；部分钱包长期保留无限授权（Unlimited Approval）未被清理。攻击者最终通过组合这些缺陷，指示 Gateway 将代币直接转入其控制地址，从而完成资产转移。 ZetaChain 表示，此次攻击共涉及 Ethereum、Arbitrum、Base 与 BSC 四条链上的 9 笔交易，被盗资金均来自 ZetaChain 控制的钱包，用户资金未受影响。官方称，该攻击具有明显预谋性。攻击者在作案前三天便通过 Tornado Cash 为钱包注资，并提前部署专用 Drainer 合约，同时还实施了地址污染（Address Poisoning）攻击。 目前，ZetaChain 已开始向主网节点推送修复补丁，永久禁用任意调用（arbitrary call）功能，并将存款流程中的无限授权机制改为“精确额度授权”。

ChainCatcher 消息，Aave 联合多家机构启动“DeFi United”救助计划，应对 KelpDAO 漏洞攻击造成的约 2.92 亿美元损失，防止坏账扩散。 攻击源于与 LayerZero 集成漏洞，黑客伪造无抵押 rsETH 并在 Aave 抵押借出约 1.9 亿美元资产，导致抵押失真并引发挤兑，平台 TVL 一度蒸发约 100 亿美元。 目前 Lido Finance、EtherFi 及创始人 Stani Kulechov 已提出注资方案；Arbitrum 冻结部分资金，但其余资产已通过 THORChain 转移，追回难度较大。当前重点转向联合注资“补洞”，以稳定 DeFi 借贷体系。

ChainCatcher 消息，据链上分析平台 Arkham（@arkham）监测，利用 Bridged Polkadot 漏洞的攻击者已将全部盗取资金转入 Tornado Cash，涉及金额约 26.9 万美元。

ChainCatcher 消息，中国工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，有攻击者利用针对苹果公司终端产品的漏洞利用工具实施网络攻击活动，可导致信息窃取、系统受控等严重危害。影响范围包括运行 iOS 13 至 17.2.1 的 iPhone、iPad 等苹果公司终端产品。 攻击者通过短信、邮件或网页投毒等方式，诱导用户使用 Safari 浏览器访问包含恶意代码的网页，综合利用终端设备中存在的安全漏洞，向受害终端产品植入远程控制木马，窃取用户敏感信息，获取最高权限并控制。 建议使用苹果公司终端产品的用户做好风险排查，尽快通过升级版本和安装补丁等方式修复漏洞（可参考苹果公司安全更新公告）。留意系统更新通知和苹果公司发布的最新安全更新公告，及时升级最新安全版本，强化使用安全意识，避免点击不明链接，防范网络攻击风险。

ChainCatcher 消息，Drift 在 X 平台发文表示，已确认与漏洞攻击相关方的关键信息。Drift 目前正从地址 (0x093...C105) 向持有被盗资金的 4 个 ETH 钱包发送链上消息，表示已准备好进行对话，并要求对方通过 Blockscan 聊天联系。Drift 将在第三方归因完成后向社区分享进一步更新。此前消息，Solana 生态 Drift Protocol 遭攻击，损失至少 2 亿美元。