黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado

今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。

黑客利用協議漏洞入侵以色列20名電信公司加密高管的Telegram:上個月，以色列電信公司Partner Communications的至少20名加密管理人員在一起SS7攻擊中成為目標，黑客利用幾十年前的協議中的一個漏洞，侵入了他們的Telegram messenger和電子郵件賬戶。據悉，盡管SS7協議于1975年首次開發，但目前在全球范圍內得到廣泛應用。以色列國家網絡安全管理局(National Cyber Security Authority)目前正在調查這些襲擊。（Cointelegraph）[2020/10/20]

分析 | PeckShield：黑客利用EOS系統合約無限挖礦漏洞已完成修復:據IMEOS報道，隨著EIDOS挖礦的持續火熱，PeckShield全程跟蹤監控，黑客從DApp到交易所再到EOSIO系統合約進行惡意挖礦的行為，并向社區發出預警。今天，EOSIO新升級V1.8.1版本修復了短賬號競拍系統存在的無限挖礦漏洞。另PeckShield安全人員進一步分析認為，昨天黑客利用onerror特性挖礦消耗的僅為個人賬戶CPU，并不能無限制使用系統CPU資源，經官方修復短賬號系統缺陷后，黑客通過EOS系統惡意挖礦的預警已暫時解除，但DApp開發者和交易所仍要持續關注實時CPU消耗情況，應過濾合約賬戶避免被惡意竊取CPU資源。[2019/11/13]

Bithumb被盜過程還原：黑客利用百倍交易費不計成本加速轉賬，疑似已累計轉移1900BTC:Chaindigg通過對Bithumb比特幣流向分析發現，從19日23點07分，黑客利用其已經掌握的Bithumb熱錢包地址私鑰，將Bithumb熱錢包中的比特幣不斷轉移至自己不同的錢包地址。為了加快交易速度，使交易盡快得到確認，黑客將每一筆轉賬交易的交易Fee都設置為0.1BTC，較正常交易Fee高出百倍。半小時后，Bithumb察覺了其熱錢包動向的異常行為。自此，Bithumb與黑客的數字資產轉移競賽拉開序幕。但由于黑客不計成本，礦工在對同一個地址中的比特幣進行交易時，會優先確認交易Fee高的交易，因此，黑客占得絕對先機。截止20日15點45分，疑似黑客已經累計從Bithumb轉移1900BTC。[2018/6/20]