慢雾：上周估计损失总额225,826美元

金色财经报道，慢雾发布每周安全报告（2023年11月26日-12月2日）。上周估计损失总额225,826美元。其中：

1.Velodrome前端攻击：针对Optimism去中心化交易协议Velodrome的攻击，警告用户在调查过程中不要进行交互。

2.Aerodrome前端攻击：与Velodrome类似，Aerodrome也面临前端攻击，提示用户停止交互。

SYSIS造成54,086美元损失，ACC造成84,423美元损失，EXPSO造成87,317美元损失。

其它快讯：

慢雾：OKX DEX Proxy Admin Owner私钥泄漏，攻击者已获利约43万U:金色财经报道，据慢雾区消息，OKX DEX合约疑似出现问题，慢雾分析后发现：用户进行兑换时会授权给TokenApprove合约，DEX合约通过调用TokenApprove合约转移用户代币。DEX合约存在claimTokens函数，允许可信的DEX Proxy进行调用，其功能是调用TokenApprove合约的claimTokens函数转移已授权用户的代币。可信的DEX Proxy由Proxy Admin进行管理，Proxy Admin Owner可以通过Proxy Admin升级DEX Proxy合约。

Proxy Admin Owner在2023-12-12 22:23:47通过Proxy Admin升级了DEX Proxy合约到新的实现合约，新的实现合约功能是直接调用DEX合约的claimTokens函数转移代币。随后攻击者开始调用DEX Proxy窃取代币。Proxy Admin Owner在2023-12-12 23:53:59再次升级了合约，实现功能与先前类似，升级后继续窃取代币。截止现在获利约43万U。

该攻击或为Proxy Admin Owner私钥泄漏，目前DEX Proxy已被移出受信列表。[2023/12/13 19:06:37]

慢雾：警惕针对 Blur NFT 市场的批量挂单签名“零元购”钓鱼风险:金色财经报道，近期，慢雾生态安全合作伙伴 Scam Sniffer 演示了一个针对 Blur NFT 市场批量挂单签名的“零元购”钓鱼攻击测试，通过一个如图这样的“Root 签名”即可以极低成本（特指“零元购”）钓走目标用户在 Blur 平台授权的所有 NFT，Blur 平台的这个“Root 签名”格式类似“盲签”，用户无法识别这种签名的影响。慢雾安全团队验证了该攻击的可行性及危害性。特此提醒 Blur 平台的所有用户警惕，当发现来非 Blur 官方域名(blur.io)的“Root 签名”，一定要拒绝，避免潜在的资产损失。[2023/3/7 12:46:39]

慢雾：警惕QANX代币的双花攻击风险:据慢雾区消息，近期存在恶意用户利用QANX代币的转账锁定、解锁功能(transferLocked/unlock)触发的事件记录与正常使用transfer功能转账触发的Transfer事件记录相同而进行双花攻击。

慢雾安全团队建议已上架此币种的平台及时自查，未上架的平台在对接此类币种时应注意以上风险。

QANX: 0xaaa7a10a8ee237ea61e8ac46c50a8db8bcc1baaa[2022/3/26 14:18:46]

相关资讯