安全團隊：發現假冒的Uniswap x DOH空投釣魚網站，請勿與之交互

金色財經報道，據CertiK監測，發現假冒的Uniswap x DOH空投釣魚網站，不要與hxxps://uniswapdoh.com/ 互動。該網站會在用戶點擊認領按鈕時掃描其錢包。

安全團隊：Multichain的Anyswap V4 Router合約遭遇搶跑攻擊，攻擊者獲利約13萬美元:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年2月15日，攻擊者利用MEV合約(0xd050)在正常的交易執行之前(用戶授權了WETH但是還未進行轉賬)搶先調用了AnyswapV4Router合約的anySwapOutUnderlyingWithPermit函數進行簽名授權轉賬，雖然函數利用了代幣的permit簽名校驗，但是本次被盜的WETH卻并沒有相關簽名校驗函數，僅僅觸發了一個fallback中的deposit函數。在后續的函數調用中攻擊者就能夠無需簽名校驗直接利用safeTransferFrom函數將_underlying地址授權給被攻擊合約的WETH轉移到攻擊合約之中。攻擊者獲利約87個以太坊，約13萬美元，Beosin Trace追蹤發現目前被盜資金有約70個以太坊進入了0x690b地址，還有約17個以太坊還留在MEVBOT的合約中。

交易哈希:0x192e2f19ab497f93ed32b2ed205c4b2ff628c82e2f236b26bec081ac361be47f[2023/2/15 12:08:11]

安全團隊：BSC Token Hub跨鏈交易驗證方式存在漏洞:10月7日消息，據Beosin EagleEye平臺監測顯示，BSC Token Hub10月7日遭遇黑客攻擊，Beosin安全團隊現將手法解析如下：幣安跨鏈橋BSC Token Hub在進行跨鏈交易驗證時，使用了一個特殊的預編譯合約用于驗證IAVL樹。而該實現方式存在漏洞，該漏洞可能允許攻擊者偽造任意消息。

1）攻擊者先選取一個提交成功的區塊的哈希值（指定塊：110217401）

2）然后構造一個攻擊載荷，作為驗證IAVL樹上的葉子節點

3）在IAVL樹上添加一個任意的新葉子節點

4）同時，添加一個空白內部節點以滿足實現證明

5）調整第3步中添加的葉子節點，使得計算的根哈希等于第1步中選取的提交成功的正確根哈希

6）最終構造出該特定區塊（110217401）的提款證明

Beosin Trace正在對被盜資金進行實時追蹤。[2022/10/7 18:41:51]

安全團隊：NFT項目Spiky Space Fish Discord服務器遭攻擊:金色財經消息，據CertiK監測，NFT項目Spiky Space Fish的Discord服務器遭黑客攻擊，請用戶不要點擊任何鏈接，且不要參與鑄造或批準任何交易。[2022/7/6 1:54:32]