2022年12月2日，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，AnkStaking的aBNBc Token项目遭受私钥泄露攻击，攻击者通过Deployer地址将合约实现修改为有漏洞的合约，攻击者通过没有权限校验的0x3b3a5522函数铸造了大量aBNBc代币后卖出，攻击者共获利5500个BNB和534万枚USDC，约700万美元，Beosin Trace将持续对被盗资金进行监控。Beosin安全团队现将事件分析结果与大家分享如下。
据了解，Ankr 是一个去中心化的 Web3 基础设施提供商，可帮助开发人员、去中心化应用程序和利益相关者轻松地与一系列区块链进行交互。
Liquid黑客正通过Wasabi钱包清洗盗窃的比特币:金色财经报道，此前从日本加密货币交易所Liquid窃取了约9700万美元加密货币的黑客使用非托管、注重隐私的Wasabi钱包来保护他们的部分收益。公共区块链数据显示，黑客钱包中的比特币在过去两周一直在移动。例如，8月29日，来自一个黑客地址的100 BTC（价值超过480万美元）被拆分并发送到两个单独的地址，然后进一步分成更小的部分并分发到更多地址。根据Crystal Blockchain的数据，至少有一部分比特币随后被发送到据信是由Wasabi钱包生成的地址。据Crystal称，与Liquid黑客相关的超过437个BTC（价值超过2000万美元）已经使用Wasabi的CoinJoin功能被清洗，并且该过程仍在进行中。[2021/8/31 22:47:59]
攻击发生之后，Ankr 针对 aBNBc 合约遭到攻击一事称，「目前正在与交易所合作以立即停止交易。Ankr Staking 上的所有底层资产都是安全的，所有基础设施服务不受影响。」
动态 | 澳大利亚黑客承认其于去年盗取了价值45万美元的XRP:据Cointelegraph消息，澳大利亚公民Katherine Nguyen承认其在2018年1月盗窃了10万多枚XRP，价值45万美元 。Nguyen侵入了一个姓氏相同的男子的电子邮件帐户。 然后她开始偷他所有的XRP，两天后打开了他的账户。据报道，在查找和逮捕她之前已对盗窃案进行了10个月的调查。 Nguyen此后对盗窃罪表示认罪，并面临牢狱之灾。今年10月将举行特别听证会，以解决一些事实争议，并决定对她的判决。[2019/8/24]
攻击交易
0xe367d05e7ff37eb6d0b7d763495f218740c979348d7a3b6d8e72d3b947c86e33
动态 | OTC交易平台LocalBitcoins遭黑客入侵 登陆页面成钓鱼网网站:据Reddit文章爆料，比特币OTC交易平台LocalBitcoins已被入侵，该网站的论坛登陆页面已定向到钓鱼站点。一旦进入钓鱼网站，模仿实际的LocalBitcoins论坛将用户，用户被提示登录并输入敏感的双重身份验证代码。一旦黑客获得账户信息，比特币随即被清空。目前LocalBitcoins已暂停取款。[2019/1/27]
攻击者地址
0xf3a465C9fA6663fF50794C698F600Faa4b05c777 (Ankr Exploiter)
被攻击合约
0xE85aFCcDaFBE7F2B096f268e31ccE3da8dA2990A
KISA正在调查关于Coinrail受到黑客攻击:韩国虚拟货币交易所Coinrail受到黑客攻击，韩国网络振兴院（KISA，Korea Internet & Security Agency）开始进行调查。其KISA的有关人员称：“在10日凌晨接到申告后立刻进行调查，并现与警察共同分析事故原因。”[2018/6/11]
1. 在aBNBc的最新一次升级后，项目方的私钥遭受泄露。攻击者使用项目方地址（Ankr: Deployer）将合约实现修改为有漏洞的版本。
韩国互联网振兴院与三星、SK电信合办区块链及物联网黑客松:韩国科学技术情报通讯部与韩国互联网振兴院（KISA）、三星电子与SK电信合办2018年的“资讯安全黑客松”，将针对韩国国内主要大企业在产业中实际面临的网路安全性问题提出解决方案。今年的黑客松活动主题是备受关注的区块链技术及物联网技术，这次比赛最终会选拔出5个优秀具创意的作品，获奖团队将能获得创业谘询、研究开发、技术转移及产品开发费用等支援。[2018/4/10]
2.由攻击者更换的新合约实现中， 0x3b3a5522函数的调用没有权限限制，任何人都可以调用此函数铸造代币给指定地址。
3.攻击者给自己铸造大量aBNBc代币，前往指定交易对中将其兑换为BNB和USDC。
4. 攻击者共获利5500WBNB和534万USDC（约700万美元）。
由于Ankr的aBNBc代币和其他项目有交互，导致其他项目遭受攻击，下面是已知项目遭受攻击的分析。
Wombat项目：
由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击，导致增发了大量的aBNBc代币，从而影响了pair（0x272c...880）中的WBNB和aBNBc的价格，而Wombat项目池子中的WBNB和aBNBc兑换率约为1:1，导致套利者可以通过在pair（0x272c...880）中低价购买aBNBc,然后到Wombat项目的WBNB/aBNBc池子中换出WBNB，实现套利。目前套利地址（0x20a0...876f）共获利约200万美元，Beosin Trace将持续对被盗资金进行监控。
Helio_Money项目：
套利地址：
0x8d11f5b4d351396ce41813dce5a32962aa48e217
由于Ankr Staking: aBNBc Token项目遭受私钥泄露攻击，导致增发了大量的aBNBc代币，aBNBc和WBNB的交易对中，WBNB被掏空，WBNB价格升高。套利者首先使用10WBNB交换出超发后的大量aBNBc.之后将aBNBc交换为hBNB。以hBNB为抵押品在Helio_Money中进行借贷，借贷出约1644万HAY。之后将HAY交换为约1550万BUSD，价值接近1亿人民币。
针对本次事件，Beosin安全团队建议：1. 项目的管理员权限最好交由多签钱包进行管理。2. 项目方操作时，务必妥善保管私钥。3. 项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
Beosin
企业专栏
阅读更多
金色早8点
金色财经
去中心化金融社区
CertiK中文社区
虎嗅科技
区块律动BlockBeats
念青
深潮TechFlow
Odaily星球日报
腾讯研究院
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。