blocksec

ChainCatcher 消息，7月17日，Interlace 與 BlockSec 聯合舉辦「支付的下一個十年：數位貨幣、AI Agent 與全球金融新秩序」峰會。活動匯聚了 AI、Web3、安全及支付領域的行業嘉賓，共同探討穩定幣支付、安全合規、AI Agent 及全球支付基礎設施的發展趨勢。BlockSec 聯合創始人周亞金與 Interlace 創始人兼 CEO Michael Wu 分別圍繞「加密支付的安全與合規」以及「Agentic Payment 與全球金融新基建」發表主題演講，分享了對數位資產支付發展趨勢的最新觀察。隨著穩定幣支付場景持續拓展，安全合規體系與新一代支付基礎設施建設正成為推動行業發展的關鍵支撐。未來，支付基礎設施不僅承擔資金流轉功能，還將進一步向可編程、可信任、可驗證的價值流轉體系演進，為數位資產與現實商業連接提供底層支撐。活動現場，Interlace 還正式發布《AI 經濟的價值傳輸層：從構想到落地》白皮書。白皮書聯合 Bitget、BlockSec、Cobo、Conflux、Stable、Xagent、Hetu 等生態夥伴共同發起，系統性地定義 Agentic Payment 基礎設施的架構、標準與落地路徑，為 AI 經濟時代的價值流轉提供參考。

ChainCatcher 消息，据 BlockSec 監測，發現一起針對 BSC 鏈上未知合約（Stake）的可疑交易，造成約 13.3 萬美元損失。攻擊者利用 Stake 合約中的現貨價格依賴漏洞，操縱 TUR-NOBEL 池中的 TUR 價格後質押 TUR，基於被推高的價格觸發獎勵計算，通過推薦帳戶領取放大後的獎勵，最終將盜取的 TUR 兌換為 USDT 獲利。

ChainCatcher 消息，据 BlockSec 監測，BSC 鏈上的 PancakeSwap BCE-USDT 池數小时前遭遇攻擊，損失約 67.9 萬美元。根本原因在於 BCE 代幣的銷毀機制存在缺陷。攻擊者部署了兩個惡意合約，繞過買賣限制並觸發池內代幣銷毀，通過操縱池中儲備從 BCE-USDT 池中提取約 67.9 萬美元獲利。

ChainCatcher 消息，据 BlockSec 監測，DBXen 合約今日上午遭遇攻擊，估計損失約 15 萬美元。根本原因在於 ERC2771 元交易下發送者身份不一致。在 burnBatch() 函數中，gasWrapper() 修飾器使用 _msgSender()（實際用戶）更新狀態，而回調函數 onTokenBurned() 使用 msg.sender（轉發器）。這導致 accCycleBatchesBurned 為用戶記錄，但 lastActiveCycle 錯誤地為轉發器更新。該不一致性破壞了 claimFees() 和 claimRewards() 的邏輯。當為用戶運行 updateStats() 時，合約錯誤地認為存在未處理的已銷毀批次，因為 accCycleBatchesBurned 已更新而 lastActiveCycle 未更新，從而錯誤計算獎勵和費用，使攻擊者能夠提取超額資金獲利。

ChainCatcher 消息，据 BlockSec 監測，BSC 鏈上 AM/USDT 池數小時前遭遇攻擊，估計損失約 13.1 萬美元。根本原因在於銷毀機制存在缺陷，被利用來操縱池中的 AM 儲備並人為推高代幣價格。攻擊者首先操縱 toBurnAmount，然後在調整池中 AM 餘額後觸發銷毀邏輯，使 AM 儲備降至異常低水平，從而允許攻擊者以人為抬高的價格將 AM 賣回池中獲利。

ChainCatcher 消息，据 BlockSec 監測，其系統在 BSC 檢測到一筆針對 MT-WBNB 資金池的可疑交易，預估損失約 24.2 萬美元。原因在於買方限制機制存在缺陷：在通縮模式下，正常買入操作會回退，而路由器 / 交易對則被列入白名單，這使得攻擊者可以通過路由器互換和流動性移除繞過限制，從該交易對獲取 MT。攻擊者隨後出售 MT 以積累 pendingBurnAmount，並調用 distributeFees（）直接從交易對中銷毀 MT，人為拉高價格，然後再將 MT 兌換回 WBNB 以獲利。此外，一條允許前 0.2 MT 轉帳繞過買家限制的推薦規則，使得攻擊者能夠啟動攻擊。

ChainCatcher 消息，針對 BlockSec 監測 Inverse Finance 疑似遭受攻擊損失約 24 萬美元資金，YAM Finance 在 X 平台發文回應表示，此次事件並非 Inverse 合約漏洞，而是與 LlamaLend 機制相關。根據其說明，攻擊者在 LlamaLend 上針對 sDOLA 發起 "捐贈攻擊"，將價格從約 1.188 sDOLA = 1 DOLA 推高至約 1.358 sDOLA = 1 DOLA，隨後清算了幾乎所有以 sDOLA 為抵押、借入 crvUSD 的用戶頭寸，目前尚未完全釐清為何抵押品價值上升反而觸發清算，按常理應使用戶遠離清算線而非更接近。值得注意的是，此次價格異常的 "次級效應" 仍在持續，因此未在 LlamaLend 進行槓桿操作、僅持有 sDOLA 的用戶賬面收益約提升 14%。此外，DOLA 目前在二級市場交易價格較錨定值存在約 1% 的折價，部分社區成員建議借款用戶可考慮在折價階段償還 DOLA 債務。

ChainCatcher 消息，据 BlockSec 監測，Inverse Finance 疑似遭受攻擊，損失約 24 萬美元資金。該事件或涉及 DOLA 價格操縱，造成多名用戶被清算。目前 BlockSec 已聯繫相關團隊，但尚未收到回覆。

ChainCatcher 消息，區塊鏈安全機構 BlockSec 監控發現 Base 與以太坊網絡上的 FOOMCASH 合約遭遇模仿攻擊，利用手法與此前 Veil Cash 漏洞相同，攻擊者因驗證密鑰配置錯誤偽造 zkSNARK 證明，導致合約累計損失約 226 萬美元。其中 Base 上單筆攻擊交易造成約 42.7 萬美元損失，而以太坊上的約 183 萬美元相關交易疑似為白帽救援操作。

ChainCatcher 消息，据 BlockSec 監測，帳戶抽象錢包 Holdstation 遭黑客攻擊，多鏈資產被盜 10 萬美元，黑客已將被盜資金轉至比特幣網絡。Holdstation 團隊已發布鏈上消息，並正在嘗試與攻擊者進行談判。

ChainCatcher 消息，BlockSec 發佈閉源合約重大漏洞分析，其檢測到一系列針對 SwapNet 和 Aperture Finance 部署在以太坊、Arbitrum、Base 和 BSC 上的受害合約的可疑交易，總損失超過 1700 萬美元。從根本上看，這兩起事件的根源都很簡單，受害合約由於輸入驗證不足而存在任意調用漏洞，攻擊者可以利用該漏洞濫用現有的代幣授權，從而 transferFrom 竊取資產。儘管 SwapNet 和 Aperture Finance 事件影響了不同的協議和區塊鏈，但兩者的根本問題並不複雜：用戶控制的底層調用，以及持有代幣授權的合約中輸入驗證不足。

ChainCatcher 消息，BlockSec 聯合 Bitget 發布研究報告「AI × Trading × Security：智能交易時代的風險演化 3.0」。報告圍繞 AI 能力演進及其與 Web3 的融合路徑，系統分析了 AI 如何重塑 Web3 交易效率與決策邏輯，並進一步探討了 AI 時代 Web3 攻防形態的演化趨勢及安全新範式。同時，報告還從風險控制、反洗錢與風險識別等維度，梳理了 AI 在 Web3 安全體系中的應用方向與現實挑戰。在具體案例分析中，報告以 Bitget 推出的 GetAgent 為例，指出其更偏向於通用型交易信息與投顧輔助工具。GetAgent 並非傳統意義上的對話式機器人，而是交易者在複雜流動性環境中的"第二大腦"。其核心邏輯在於通過 AI 算法與實時多維數據的深度融合，構建起連接數據、策略與交易執行的完整閉環，以輔助用戶在高頻、多變量市場環境中進行更有效的決策。報告最後指出，Web3 與 AI 的深度融合已成為行業發展的重要趨勢，而安全、風控與合規能力則是這一趨勢得以持續推進的關鍵基礎。報告強調，需要行業內不同機構協同推進技術、治理與安全標準建設，共同推動智能交易時代的健康與可持續發展。

ChainCatcher 消息，据市場消息，數小時前發現一系列針對部署在以太坊、Arbitrum、Base 和 BSC 上的受害合約的可疑交易，這些交易由兩名創建者部署的合約遭受攻擊，總損失超過 1700 萬美元。受害合約並非開源，且似乎存在任意調用功能漏洞。攻擊者濫用現有的代幣授權，執行 transferFrom 操作以盜取資產。受影響部署者：0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112------損失約 367 萬美元；0x9cb8d9BaE84830b7F5F11ee5048c04a80b8514BA------損失約 1,341 萬美元。

ChainCatcher 消息，區塊鏈安全機構 BlockSec 發文稱，部署於 Arbitrum 上的 FutureSwap 協議在四天前遭首次攻擊後，再次被黑客利用重入漏洞攻擊，損失約 7.4 萬美元。攻擊者先在 3 天前通過重入函數 0x5308fcb1 超額鑄造 LP 代幣，待冷卻期結束後贖回超額抵押資產實現獲利。

ChainCatcher 消息，安全機構 BlockSec 旗下鏈上追蹤平台 BlockSec Phalcon 於 X 平台發文表示，"Balancer 及其多個分叉項目在數小时前遭到攻擊，導致多條鏈上損失超過 1.2 億美元。這是一次極其複雜的攻擊。初步分析表明，根本原因是攻擊者對 BPT 價格計算進行了不變量操縱，從而扭曲了 BPT 價格計算，使攻擊者能夠通過單次批量交易從特定的穩定幣池中獲利。以對 Arbitrum 的攻擊交易為例，批量交換操作可以分解為三個階段：1. 攻擊者將 BPT 兌換成底層資產，以精確地調整一個代幣 (cbETH) 的餘額，使其接近舍入邊界 (金額 = 9)。這為下一步的精度損失創造了條件；2. 攻擊者隨後使用預先構造的數量 (= 8) 在另一種底層代幣 (wstETH) 和 cbETH 之間進行交換。由於代幣數量縮放時向下取整，計算出的 Δx 略微減小 (8 0.918 至 8)，導致 Δy 被低估，從而使 Curve 的 StableSwap 模型中的不變量 (D 也變小。由於 BPT 價格 = D / 總供應量，BPT 價格被人為壓低；3. 攻擊者將基礎資產反向兌換回 BPT，恢復平衡，同時從 BPT 價格下跌中獲利。

ChainCatcher 消息，區塊鏈安全公司 BlockSec 在社交媒體上發文表示，Balancer 及多個分叉協議遭到攻擊。損失情況如下：以太坊鏈上 Balancer 損失 7000 萬美元；Base 鏈上 Balancer 損失 390 萬美元；Polygon 鏈上 Balancer 損失 11.7 萬美元；Sonic 鏈上 Beets 損失 340 萬美元；Arbitrum 鏈上 Balancer 損失 590 萬美元；Optimism 鏈上 Beethoven 損失 28.3 萬美元。

ChainCatcher 消息，据 BlockSec 監測，Base 鏈上一個未知合約遭受攻擊，損失約 21.9 萬美元（55 WETH）。攻擊原因疑為訪問控制不當，允許任意調用 transferFrom 函數，導致受害者已授權的資產被盜。

ChainCatcher 消息，据市場消息，Sharwa.Finance 已披露其遭遇攻擊，隨後暫停運行。然而，數小時後又發生了多筆可疑交易，攻擊者可能通過略有不同的攻擊路徑，利用了同一底層漏洞。總體而言，攻擊者首先創建一個保證金賬戶，然後利用提供的抵押品通過槓桿借貸借入更多資產，最後針對涉及所借資產的兌換操作發起"三明治攻擊"。根本原因似乎是 MarginTrading 合約的 swap() 函數中缺少破產檢查，該函數用於將所借資產從一種代幣（如 WBTC）兌換為另一種代幣（如 USDC）。該函數僅在資產兌換執行前，根據兌換開始時的賬戶狀態來驗證償付能力，這就為操作過程留下了被操縱的空間。攻擊者 1（0xd356 開頭）實施了多次攻擊，獲利約 6.1 萬美元。攻擊者 2（0xaa24 開頭）實施了一次攻擊，獲利約 8.5 萬美元。

ChainCatcher 消息，据 BlockSec Phalcon 披露，其系統檢測到以太坊上針對兩個未知合約的多筆可疑交易，造成約 12 萬美元損失。攻擊者利用了受害合約中 approveERC20 和 withdrawAll 關鍵函數缺乏訪問控制的漏洞，成功提取了合約內的代幣。這些受害合約並非開源，均由同一地址部署。

ChainCatcher 消息，据市場消息，BlockSec Phalcon 警報，其系統檢測到 "transferFrom" 問題，導致 Base 鏈上出現約 9 萬美元的損失。此問題是由於訪問控制不足導致回調函數中存在任意低級調用。建議立即撤銷對未知合約 0xD9f4a3238154ff6439e37F98c9B11489353715Bb 的所有批准。