安全公司：Punk Protocol被黑因其CompoundModel的Initialize函數未做重復初始化檢查

據慢霧區消息，去中心化年金協議 Punk Protocol 在公平啟動的過程中遭遇攻擊，慢霧安全團隊以簡訊形式將攻擊原理分享如下：

1.攻擊者調用CompoundModel合約的Initialize函數進行重復初始化操作，將合約Forge角色設置為攻擊者指定的地址。

2.隨后攻擊者為了最大程度的將合約中資金取出，其調用了invest函數將合約中的資金抵押至Compound中，以取得抵押憑證cToken。

3.最后攻擊者直接調用withdrawToForge函數將合約中的cToken轉回Compound獲取到對應的底層資產并最終將其轉給Forge角色。

4.withdrawToForge函數被限制只有Forge角色可以調用，但Forge角色已被重復初始化為攻擊者指定的地址，因此最終合約管理的資產都被轉移至攻擊者指定的地址。總結：本次攻擊的根本原因在于其CompoundModel的Initialize函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換Forge角色，最終造成合約管理的資產被盜。

總結：本次攻擊的根本原因在于其 CompoundModel 的 Initialize 函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換 Forge 角色，最終造成合約管理的資產被盜。

加密安全公司Forta上線委托質押功能:金色財經報道，加密安全公司Forta宣布上線委托質押功能，允許所有FORT持有者都能因保護網絡而獲得獎勵。

此前報道，去年6月，加密安全公司Forta推出原生代幣FORT，旨在增加安全研究人員監控區塊鏈網絡的動力。[2023/2/28 12:34:38]

安全公司Dedaub因披露Uniswap重入漏洞獲得4萬美元漏洞賞金:1月3日消息，安全公司 Dedaub 團隊宣布獲得 Uniswap Labs 的 4 萬枚 USDC 安全漏洞賞金，因為其披露 Uniswap 的一個嚴重漏洞，該漏洞有重入并耗盡用戶的資金的可能性。不過，Uniswap 團隊已解決該漏洞并在所有鏈上重新部署了 Universal Router 智能合約，資金是安全的。

Uniswap 在 2022 年 11 月份發布通用路由器Universal Router智能合約，可將 ERC20 和 NFT 兌換統一到一個交換路由器中，用戶可以執行異構操作，例如，在一筆交易中交換多個 Token 和 NFT。

Dedaub 表示，該路由器為各種 Token 操作嵌入了腳本語言，此類命令可能包括向第三方（可能不受信任的）接收人的傳輸。如果在傳輸過程中的任何時候調用第三方代碼，該代碼可以重新進入 UniversalRouter 并在合約中臨時認領任何 Token。Dedaub 建議 Uniswap 為新路由器的核心執行添加一個重入鎖，并重新部署。[2023/1/4 9:50:22]

安全公司：2.67億個Facebook帳戶信息在暗網以600美元出售:網絡安全公司Cyble發現，有2.67億Facebook用戶信息被盜，包括姓名、郵箱地址、電話、社會身份、性別等，這些信息在暗網上以僅600美元的價格出售。目前尚不清楚這些信息是如何在第一時間被泄露的，不過根據Cyble工作人員的說法，很可能是第三方API泄露或報廢導致的。雖然這次針對Facebook的攻擊并不像此前Zoom一樣對密碼等敏感信息進行了竊取，但由于這些信息包含了用戶的敏感資料，不法分子很有可能將其用于網絡釣魚詐騙或者發送垃圾郵件。釣魚詐騙是能夠進一步盜取密碼等隱私數據的手段。黑客能夠利用獲取到的電子郵件地址和Facebook ID等信息偽造出Facebook登錄頁面，當用戶將登錄信息輸入到該領域時，他們就能順勢挖出用戶的密碼和其他敏感信息。據悉，去年暗網上也發現過類似Facebook電子郵件被曝光事件，其中包含了2.67億個來自美國用戶的Facebook賬戶。（安全內參）[2020/4/23]