慢霧安全預警：Solana出現惡意合約授權釣魚事件 可轉走用戶全部原生資產

3月5日消息，Solana上出現多起授權釣魚事件。攻擊者批量給用戶空投 NFT (圖 1) ，用戶通過空投 NFT 描述內容里的鏈接 (www_officialsolanarares_net) 進入目標網站，連接錢包(圖 2)，點擊頁面上的“Mint”，出現批準提示框(圖 3)。注意，此時的批準提示框并沒有什么特別提示，當批準后，該錢包里的所有 SOL 都會被轉走。當點擊“批準”時，用戶會和攻擊者部署的惡意合約交互：3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v

該惡意合約的功能最終就是發起“SOL Transfer”，將用戶的 SOL 幾乎全部轉走。從鏈上信息來看，該釣魚行為已經持續了幾天，中招者在不斷增加。

提醒：1. 惡意合約在用戶批準(Approve)后，可以轉走用戶的原生資產(這里是 SOL)，這點在以太坊上是不可能的，以太坊的授權釣魚釣不走以太坊的原生資產(ETH)，但可以釣走其上的 Token。于是這里就存在“常識違背”現象，導致用戶容易掉以輕心。

2. Solana 最知名的錢包 Phantom 在“所見即所簽”安全機制上存在缺陷(其他錢包沒測試)，沒有給用戶完備的風險提醒。這非常容易造成安全盲區，導致用戶丟幣。（慢霧區）

慢霧安全：警惕Big Data Protocol合約相關風險:據慢霧區消息，知名DeFi項目Big Data Protocol因項目自身代碼Bug出現無法正常領取獎勵的問題。經慢霧安全團隊分析，此問題系Big Data Protocol的BDP代幣合約在mint函數中對seePoolAmount變量做了錯誤的校驗，導致合約功能無法正常執行。目前合約用戶只能通過緊急提現函數對資金進行提現。但緊急提現函數無法同時提現挖礦收益。

慢霧安全團隊提醒用戶注意Big Data Protocol合約風險，如有參與，可通過emergency Withdraw函數將資金安全取出。[2021/3/12 18:40:04]

聲音 | 慢霧安全團隊：門羅幣不小心創造了一個網絡和平世界:據火訊財經報道，慢霧安全團隊表示：“門羅幣不小心創造了一個網絡和平世界，因為其CPU/GPU算力友好，對抗職業礦機（比如ASIC芯片），且門羅是最早的一批，算是匿名幣的龍頭，地下黑客入侵大量服務器，以前是勒索、竊取機密，現在大規模做CPU挖礦，所發布的典型蠕蟲病修補了相關漏洞入口，殺掉了蠕蟲對手，安全加固了相關機制，然后它僅挖礦，不少企業入侵事件的發現不是因為發現蠕蟲，而是發現服務器或主機卡了，這些蠕蟲挖的主要就是門羅。”[2018/7/3]

聲音 | 慢霧安全團隊：區塊鏈技術本身存在安全缺陷 可參考以太坊漏洞賞金計劃實現安全:據火訊財經報道，慢霧安全團隊表示，區塊鏈技術本身存在安全缺陷，研究區塊鏈安全的可以參考以太坊漏洞賞金計劃實現安全，包括：1. 客戶端協議實現安全；2. 網絡安全；3. 節點安全；4. 客戶端應用安全；5. 算法使用安全；6. Solidity 語言安全；7. ENS 安全。[2018/7/2]