链闻消息，慢雾区针对币安智能链上DeFi项目AutoSharkFinance被黑分析称，由于AutoShark策略池的机制，攻击者需要事先存入一定数量的LP代币到策略池中，为后续攻击做准备。整个攻击其实分成了2步，第2笔攻击交易的具体攻击步骤如下：1.攻击者从Pancake的WBNB/BUSD交易对中借出大量WBNB；2.将第1步借出的全部WBNB中的一半通过Panther的SHARK/WBNB交易对兑换出大量的SHARK，同时池中WBNB的数量增多；3.将第1步和第2步的WBNB和SHARK打入到SharkMinter中，为后续攻击做准备；4.调用AutoShark项目中的WBNB/SHARK策略池中的getReward函数，该函数会根据用户获利的资金从中抽出一部分手续费，作为贡献值给用户奖励SHARK代币，这部分操作在SharkMinter合约中进行操作；5.SharkMinter合约在收到用户收益的LP手续费之后，会将LP重新拆成对应的WBNB和SHARK，重新加入到Panther的WBNB/SHARK交易池中；6.由于第3步攻击者已经事先将对应的代币打入到SharkMinter合约中，SharkMinter合约在移除流动性后再添加流动性的时候，使用的是SharkMinter合约本身的WBNB和SHARK余额进行添加，这部分余额包含攻击者在第3步打入SharkMinter的余额，导致最后合约获取的添加流动性的余额是错误的，也就是说SharkMinter合约误以为攻击者打入了巨量的手续费到合约中；7.SharkMinter合约在获取到手续费的数量后，会通过tvlInWBNB函数计算这部分手续费的价值，然后根据手续费的价值铸币SHARK代币给用户。但是在计算LP价值的时候，使用的是PantherWBNB/SHARK池的WBNB实时数量除以LP总量来计算LP能兑换多少WBNB。但是由于在第2步中，Panther池中WBNB的数量已经非常多，导致计算出来的LP的价值非常高；8.在LP价值错误和手续费获取数量错误的情况下，SharkMinter合约最后在计算攻击者的贡献的时候计算出了一个非常大的值，导致SharkMinter合约给攻击者铸出了大量的SHARK代币；9.攻击者后续通过卖出SHARK代币来换出WBNB，偿还闪电贷。然后获利离开。9.攻击者后续通过卖出SHARK代币来换出WBNB，偿还闪电贷。然后获利离开。
慢雾安全：警惕Big Data Protocol合约相关风险:据慢雾区消息，知名DeFi项目Big Data Protocol因项目自身代码Bug出现无法正常领取奖励的问题。经慢雾安全团队分析，此问题系Big Data Protocol的BDP代币合约在mint函数中对seePoolAmount变量做了错误的校验，导致合约功能无法正常执行。目前合约用户只能通过紧急提现函数对资金进行提现。但紧急提现函数无法同时提现挖矿收益。
慢雾安全团队提醒用户注意Big Data Protocol合约风险，如有参与，可通过emergency Withdraw函数将资金安全取出。[2021/3/12 18:40:04]
声音 | 慢雾：99%以上的勒索病使用BTC进行交易:据慢雾消息，勒索病已经成为全球最大的安全威胁之一，99%以上的勒索病使用BTC进行交易，到目前为止BTC的价格已经涨到了一万多美元，最近一两年针对企业的勒索病攻击也越来越多，根据Malwarebytes统计的数据，全球TO B的勒索病攻击，从2018年6月以来已经增加了363%，同时BTC的价格也直线上涨，黑客现在看准了数字货币市场，主要通过以下几个方式对数字货币进行攻击：
1.通过勒索病进行攻击，直接勒索BTC。
2.通过恶意程序，盗取受害者数字货币钱包。
3.通过数字货币网站漏洞进行攻击，盗取数字货币。[2019/8/25]
声音 | 慢雾预警：攻击者喊话所有链上伪随机数(PRNG)都可被攻击:攻击者 floatingsnow 向自己的子账号 norealrandom、dolastattack 转账并在 memo 中喊话：hi slowmist/peckshield: not only timer-mix random but all in-chain PRNG can be attack, i suggest b1 export new apis (get_current_blockid/get_blockhash_by_id) instead of prefix/num
从账号名称和 memo 可知攻击者对目前 EOS DApp 链上随机数方案了如指掌，攻击者指出 tapos_block_prefix/tapos_block_num 均不安全，并提议 b1 新增 get_current_blockid / get_blockhash_by_id 接口。[2019/1/16]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。