漏洞利用

ChainCatcher 消息，据 Chainalysis 報告，過去六個月，至少 3670 萬美元從源代碼未公開驗證的協議中被盜，涉及 Truebit、Trusted Volumes、Aperture Finance 和 Ekubo 等協議。攻擊者通過反編譯原始字節碼來尋找漏洞。AI 輔助的漏洞利用開發正在加速這一趨勢，大語言模型可以規模化識別漏洞模式。Chainalysis 指出，未驗證合約缺乏社區審查，通常被排除在漏洞賞金計劃之外。AI 反編譯和漏洞分析的門檻正在迅速下降，攻擊者可以系統性地掃描數千個未驗證合約。協議應驗證所有合約代碼，審計實際部署的合約，擴大漏洞賞金覆蓋範圍，並實施實時鏈上監控。每個未驗證合約都是自動化掃描的潛在目標，僅靠混淆作為安全措施已不再有效。

ChainCatcher 消息，去中心化預測市場平台 Polymarket 疑遭黑客入侵，威脅行為者 xorcat 在一知名網絡犯罪論壇發布了逾 30 萬條數據記錄及配套漏洞利用工具包。據稱，攻擊者通過未公開的 API 端點、分頁繞過及 Polymarket Gamma 與 CLOB API 的 CORS 錯誤配置提取數據。泄露內容包括：1 萬個用戶完整個人信息（含姓名、代理錢包及基礎地址）、4111 條評論、1000 條舉報記錄（含 58 個 ETH 地址及管理員認證地址標識）、48536 個 Gamma 市場元數據、逾 25 萬個活躍 CLOB 市場的固定乘積做市商地址，以及 9000 個關注者社交圖譜數據。工具包中包含多個漏洞的概念驗證代碼，涉及 CVE-2025-62718（Axios NO_PROXY 繞過，CVSS 9.9，可觸發服務端請求偽造）、CVE-2024-51479（Next.js 中間件認證繞過，CVSS 7.5）及 CORS 錯誤配置等。此外，工具包還附有自動化持續拉取腳本及完整紅隊報告。

ChainCatcher 消息，据 Arkham 監測顯示，Drift 漏洞利用者正在轉移資金，他們剛將價值 1.48 萬美元的 SOL 轉移至新錢包。

ChainCatcher 消息，Solv Protocol 官方公告，單個 BRO Vault 發生有限的漏洞利用，影響了極少數用戶（小於 10 位），受影響金額為 38.0474 枚 SolvBTC，約合 270 萬美元。所有其他金庫和用戶資金都保持安全且不受影響，Solv Protocol 正與安全合作夥伴積極調查，並已採取措施防止任何事件再次發生。Solv Protocol 將為受影響用戶承擔相關損失。此外官方致信黑客，如果及時歸還資金，可提供 10% 的白帽獎金。

ChainCatcher 消息，据 Cointelegraph 報導，谷歌威脅分析團隊近日披露了一個名為 "Coruna" 的新型 iOS 漏洞利用套件，該套件正被用於針對 iPhone 用戶的加密貨幣盜竊活動。該套件主要針對運行 iOS 13 至 17.2.1 版本的設備，包含 23 個漏洞利用程序和 5 條完整的攻擊鏈，其中部分為此前未知的漏洞。它可通過偽造的加密貨幣相關網站實施攻擊。據悉，當用戶使用存在漏洞的 iOS 設備訪問這些惡意網站時，攻擊代碼會自動運行，掃描設備中的敏感信息，特別是包含助記詞、備份短語、銀行賬戶等關鍵詞的文本，並試圖從 Uniswap、MetaMask 等加密應用中竊取資產。谷歌研究人員強烈建議 iPhone 用戶立即將設備更新至最新的 iOS 版本。若無法更新，應開啟蘋果系統的 "鎖定模式" 以增強防護。

ChainCatcher 消息，Aperture Finance 在 X 平台發文稱，已察覺到影響 Aperture V3/V4 合約的漏洞利用事件。為防止出現新的授權，已在前端應用中停止了核心功能，正與安全合作夥伴共同調查事件的根本原因。為確保錢包安全，請立即在以太坊主網上撤銷對以下合約地址的所有授權：0xD83d960deBEC397fB149b51F8F37DD3B5CFA8913。此前消息，監測到 Aperture Finance 遭遇攻擊，損失約 367 萬美元。

ChainCatcher 消息，据 CoinDesk 報導，在 Balancer v2 金庫因重大漏洞遭攻擊，導致超 1.1 億美元資金流失數周後，Balancer DAO 已開始討論一項計劃，擬將約 800 萬美元的追回資產分配給受影響的 LP。該提議方案包括為白帽黑客提供結構化報酬，並依據漏洞利用時用戶池資產快照數據對用戶進行補償，這與《安全港協議》相符。該協議規定，每起事件賞金上限 100 萬美元，白帽黑客要完成全面的 KYC 及制裁篩查。Arbitrum 上有幾位匿名救援者放棄賞金索賠。追回的代幣涵蓋以太坊、Polygon、Base 和 Arbitrum 等網絡，流動性提供者會按最初提供的代幣、按池按比例獲得補償。目前正在開發索賠機制，若提案通過，用戶需接受更新後的使用條款。另外，1970 萬美元的 osETH 和 osGNO 由 StakeWise 追回，將單獨處理；內部與 Certora 協同追回的 410 萬美元，因先前有協議，不符合賞金條件。此次漏洞利用是由智能合約缺陷引起的，標誌著 Balancer 遭遇了第三次重大安全事件，並導致總鎖定價值 (TVL) 從約 7.75 億美元暴跌至 2.58 億美元，而 BAL 代幣價值也損失了約 30%。

ChainCatcher 消息，Gnosis 在 X 平台發文稱："已獲悉有關影響 Balancer v2 資金池的漏洞利用事件的報告。目前，Gnosis 正全力確定受影響資金池及地址的全部範圍。Gnosis 團隊也在與生態系統合作夥伴進行協調。作為預防措施，Gnosis 已採取以下行動：已與 Monerium 團隊和 Balancer 團隊緊密協作，凍結了 EURe/sDAI 和 GNO/osGNO 資金池。用戶仍可通過 UniV3 資金池在 CoW Swap 上進行交易。已暫時且部分停止使用標準橋從 Gnosis 鏈跨鏈轉出資產，相關交易將被撤銷。Gnosis 將繼續密切關注事態發展，並在獲得進一步信息時及時提供更新。"

ChainCatcher 消息，据 CertiK Alert 監測，Radiant Capital 漏洞利用者已將 2834.6 枚 ETH（約合 1080 萬美元）存入混幣器 Tornado Cash。其中 2213.8 枚 ETH 由 EOA 0x4afb 地址於 2024 年通過 Arbitrum 橋接轉入，其餘資金系通過 DAI 兌換所得。2024 年 10 月 16 日，Radiant 借貸池在 BNB 鏈與 Arbitrum 上遭遇攻擊，損失約 5300 萬美元。攻擊者通過控制 11 個多簽錢包簽名者中的 3 個權限，替換了 Radiant 借貸池的實現合約從而盜取資金。

ChainCatcher 消息，基於 Uniswap V4 的 DEX 項目 Bunni 於近日宣布關停。Bunni 表示："最近的漏洞利用事件迫使 Bunni 的發展陷入停滯。為了安全地重啟，僅審計和監控費用就需要支付六到七位數------這筆資金我們目前無法承擔。此外，讓 Bunni 恢復到漏洞利用前的狀態還需要數月的開發和業務拓展努力，這也是我們難以負擔的。因此，我們決定關閉 Bunni。"此外 Bunni 還表示剩餘的財庫資產將分配給 BUNNI、LIT 和 veBUNNI 的持有者。目前法律流程的確認仍在進行中，具體分配細節將在法律流程最終確定後公布，團隊成員將不參與此次快照分配。此前消息，Bunni 在遭黑客攻擊後損失約 230 萬美元。

ChainCatcher 消息，穩定幣協議 Resupply 發文表示，其 wstUSR 市場遭遇一次漏洞利用。受影響的合約已被識別並暫停。只有 wstUSR 市場受到影響，協議仍在正常運行。在對情況進行全面分析後，將立即分享完整的事件報告。此前消息，Resupply 遭遇可疑交易攻擊，損失約 950 萬美元。

ChainCatcher 消息，CertiK 發布警報，其檢測到一起涉及閃電貸和 NFT 市場的漏洞利用事件。該可疑交易包含在某協議上的複雜邏輯操作。CertiK 表示，該事件的影響為 NFT 市場邏輯被利用，但不會直接耗盡資金，具有委託報價邏輯的項目需保持警惕，應檢查訪問權限和驗證檢查。

ChainCatcher 消息，Terra 在社交平台發文稱，昨天，Terra 區塊鏈遭到惡意攻擊，導致價值約 400 萬美元的資產被未經授權提取，在收到漏洞警報後，立即與驗證者協調以停止 Terra 鏈，然後推出軟體升級來修補該漏洞。目前已將 Terra 上的漏洞利用者的錢包列入黑名單，最終確定攻擊情況後，將分享更詳細的事件分析。

ChainCatcher 消息，据 Certik 資料顯示， 6 月份 Web3 領域因漏洞利用、黑客攻擊和詐騙損失了約 1.983 億美元，該金額是 2024 年第二高的月度損失金額，此外 130 萬美元在安全事件中被退還。其中，退出詐騙損失約 480 萬美元、閃電貸款損失約 2350 萬美元、漏洞利用損失約 1.713 億美元。

ChainCatcher 消息，Kraken 交易所首席安全官 Nick Percoco 在 X 平台披露，2024 年 6 月 9 日，Kraken 收到一名安全研究員的漏洞賞金警報，稱發現了一個"極其嚴重"的漏洞。該漏洞允許攻擊者在特定情況下未完成存款即可增加帳戶餘額。Kraken 團隊迅速修復了該漏洞，並發現有三個帳戶利用了此漏洞，其中一個自稱為安全研究員。該研究員與其他兩人共提取了近 300 萬美元。Kraken 要求返還資金未果，稱其行為是勒索，並將此事作為刑事案件處理。Kraken 重申其漏洞賞金計劃的重要性和透明度。

ChainCatcher 消息，慢霧監測顯示，今天早些時候，BXH 漏洞利用者在潛伏數月之後開始行動，將總計 9491 枚 ETH 整合到新地址，然後迅速將其轉移到 Tornado.Cash。

ChainCatcher 消息，鏈上偵探 ZachXBT 發文表示，Munchables 團隊雇傭的四名不同的開發人員與漏洞利用者有關聯，他們很可能是同一個人。他們相互推薦工作、定期向相同的兩個交易所存款地址轉帳，以及為彼此的錢包充值。此前報導，Web3 遊戲平台 Munchables 被攻擊，損失達 6250 萬美元。

ChainCatcher 消息，Blast 生態項目 Super Sushi Samurai 在 X 平台發文表示，項目遭到漏洞利用攻擊，與代幣鑄造有關，目前正在查看代碼，代幣被鑄造後被出售給了流動性提供者。

ChainCatcher 消息，安全公司 MetaTrust Alert 監測顯示，OKX DEX 漏洞利用造成的總損失現已達到 270 萬美元。