Web3 攻擊事件及安全事故

ChainCatcher 消息，NEAR Intents 發布安全通報確認遭遇攻擊。初步調查顯示，漏洞源於 Omni 充提基礎設施與合約交互缺陷，目前已完成合約漏洞修復，預計 1 小時內恢復核心服務，並承諾對受損資產進行全額賠付。NEAR Intents 表示，BSC、Polygon、TON 等多條公鏈的充提服務將額外暫停約 12 小時，相關案件已報案並展開鏈上追蹤。隨後，鏈上偵探 ZachXBT 表示，NEAR Intents 的 BSC 熱錢包出現多筆異常資金流出，被盜資金已轉入 KuCoin，並進一步跨鏈至比特幣網絡。目前涉案金額超過 380 萬美元。

ChainCatcher 消息，据 Blockaid 監測，Flamingo Finance 遭遇攻擊，攻擊者通過 Morpho 閃電貸借出約 1800 萬美元 USDT，在交易過程中將 Curve USDP LP 質押進 Strategy 以抬高 VaultYUSDT 份額價格，隨後贖回流動性 aUSDT。目前攻擊者已實現約 34.59 萬美元 USDT 利潤。

ChainCatcher 消息，据 Decrypt 報導，跨鏈橋協議 Allbridge 因遭遇閃電貸攻擊暫停 Core 協議，目前攻擊者已從 Solana 穩定幣流動性池中盜取約 165 萬美元資產。據區塊鏈安全機構 PeckShield 和 CertiK 分析，攻擊者通過 Solana 借貸協議 Kamino 借入 112 萬美元閃電貸資金，隨後通過多次穩定幣兌換操作操縱 Allbridge 池內價格機制，以低價兌換資產，並將資金跨鏈轉移至以太坊地址。攻擊過程中，攻擊者用數千美元 USDT 兌換獲得約 224 萬美元 USDC，隨後將資金橋接至以太坊並進一步分散。目前部分資金是否仍可追回尚不明確。Allbridge 表示，團隊已出於安全考量暫停 Core 協議，並要求受影響流動性提供者立即撤出資金。由於攻擊導致流動性池失衡，部分交易者利用套利機會獲利，Allbridge 呼籲相關用戶返還收益，稱資金將用於補償受影響 LP。團隊表示，目前用戶資金不存在進一步風險，並將在完成調查後發布詳細事件分析報告，同時計劃在移除流動性池的情況下重新上線 Core 協議。這是 Allbridge 第二次遭遇類似閃電貸攻擊。2023 年 4 月，該協議 BNB Chain 流動性池曾因類似漏洞損失約 57.3 萬美元，之後項目方曾表示追回大部分資金並調整流動性計算機制。

ChainCatcher 消息，慢霧發布安全預警稱，Aurellion 遭遇攻擊，損失約 455,003 枚 USDC（約 45.5 萬美元）。分析指出，漏洞根源在於 SafeOwnable Facet 中的 initialize(address) 函數缺乏有效保護。由於 Diamond 合約在設置 owner 時未通過 initialize 路徑，導致 _initialized 版本槽未正確更新，攻擊者得以重新初始化合約並覆蓋 owner 權限。隨後，攻擊者調用 diamondCut 注入惡意 Facet，並透過惡意 pullERC20 功能轉移已授權用戶的 USDC 資產，最終完成資金盜取。

ChainCatcher 消息，据 The Street 報導，借貸協議 Purrlend 在 MegaETH 和 HyperEVM 網絡遭遇攻擊，損失約 152 萬美元。攻擊者從 HyperEVM 網絡提取約 120 萬美元資產，包括 449,683 枚 USDC、214,125 枚 USDT、194,745 枚 USDH 以及部分 UBTC、wstHYPE、UETH、kHYPE 和 WHYPE。攻擊者另從 MegaETH 網絡提取約 32.4 萬美元資產，包括 USDT、WETH 和 USDm。目前 Purrlend 已暫停協議並展開調查，攻擊者地址已在兩網絡區塊瀏覽器中被識別。