北京时间2022年10月11日21:11:11，CertiK Skynet天网检测到项目Temple DAO遭到黑客攻击，损失约230万美元。攻击发生的主要原因是migrateStake函数没有检查输入的oldStaking参数。
攻击步骤
① 攻击者（0x2df9...）调用migrateStake()函数，传入的oldStaking参数为0x9bdb...，这导致被攻击的合约将里面的LP代币转移到了攻击者的合约中。
以太坊基金会披露Bug Bounty Programs的第一组已发现漏洞:3月10日消息，以太坊基金会披露漏洞奖励计划Bug Bounty Programs的第一组漏洞。这些漏洞被发现后，已通过执行层和共识层客户端的Bug Bounty程序直接报告给以太坊基金会或客户端团队。
注，漏洞奖励计划Bug Bounty Programs允许以太坊基金会跨客户端协调和交叉检查漏洞，目前接受Nimbus、Teku、Lighthouse、Prysm、Lodestar、Go Ethereum、Nethermind、Erigon和Besu的漏洞报告。[2022/3/10 13:47:49]
动态 | 新西兰加密货币交易所Cryptopia再次出现安全漏洞 被盗1675个以太坊:据ETHNews消息，区块链分析平台Elementus发布报告称，新西兰加密货币交易所Cryptopia再次出现漏洞。根据这份报告，1月28日，黑客攻击又锁定了1.7万个Cryptopia用户的钱包，盗取了1675个以太坊（截至发稿时价值约17.6万美元）。Elementus的报告指出，在此次被盗的1.7万个钱包中，5000多个钱包此前的攻击中已被盗取所有ETH。事实上，在本次攻击中，黑客将攻击矿池得到的ETH发送给这些钱包，再将这些钱包中的ETH盗走。由于偷来的资金与最初的黑客相关的钱包相同，Elementus认为此次攻击者和先前的黑客为同一人。此前消息，1月15日，新西兰加密交易所Cryptopia宣布其遭遇严重安全漏洞，并造成重大损失，也介入调查。[2019/1/30]
② 攻击者提取了Stax Frax/Temple LP代币，并将FRAX和TEMPLE代币USDC最终兑换为WETH。
本体官方声明：本体不受NEP-5智能合约漏洞影响:本体官网发布声明称，对于NEP-5智能合约出现的存储注入漏洞问题，本体团队第一时间进行了调查分析，得出结论如下：1.ONT持有人的资金和财产是安全的，不会受到攻击的影响；2. 本体团队将继续跟进该漏洞的进展，与相关组织保持紧密沟通和技术配合，以保障ONT持有人的账户安全。[2018/5/19]
漏洞分析
导致Temple DAO漏洞的原因是StaxLPStaking合约中的migrateStake函数没有检查输入的oldStaking参数。
因此，攻击者可以伪造oldStaking合约，任意增加余额。
资金去向
以太坊上的321,154.87 Stax Frax/Temple LP代币后来被交易为1,830.12 WETH(约230万美元)。
写在最后
自6月初该合约被部署以来，导致此次事件发生的漏洞已经存在了数月。这是一种智能合约逻辑错误，也应该在审计中被发现。
攻击发生后，CertiK的推特预警账号以及官方预警系统已于第一时间发布了消息。同时，CertiK也会在未来持续于官方公众号发布与项目预警（攻击、欺诈、跑路等）相关的信息。
CertiK中文社区
企业专栏
阅读更多
宁哥的web3笔记
金色财经 庞邺
DoraFactory
金色财经Maxwell
新浪VR-
Foresight News
Footprint
元宇宙之道
Beosin
SmartDeerCareer
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。