黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado

今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。

黑客利用重入漏洞攻擊Paraluni，獲利逾170萬美元，約1/3已流入Tornado:今日8時04分（HKT），BSC鏈上的元宇宙金融項目Paraluni遭受黑客攻擊，黑客獲利逾170萬美元。據歐科云鏈鏈上天眼初步分析：

1、攻擊者資金來自PancakeSwap的閃電貸；

2、問題出在項目方MasterCheif合約的depositByAddLiquidity方法，該方法未校驗代幣數組參數address memory _tokens是否和pid參數指向的LP相吻合，在涉及到LP數額變化時，也未加重入鎖。

目前黑客在BSC鏈上的地址「0x94bc」的賬戶余額為3000.01 BNB（約112.58萬美元），另有235.45 ETH（約60.86萬美元）通過cBridge跨鏈到了ETH網絡「0x94bc」。其中約1/3被盜資金（230 ETH）已流入Tornado Cash。

該事件提醒我們，在涉及到金額變動的合約方法中，一定要關注重入漏洞，盡量使用重入鎖modifier。

鏈上天眼團隊已對相關地址進行了監控，并將進一步跟進事件進展。[2022/3/13 13:54:09]

動態 | 黑客利用Excel文檔來執行ChainShot惡意軟件攻擊:近日出現了一款名叫ChainShot的惡意軟件攻擊，其利用微軟 Excel 文件包含的微型 Shockwave Flash ActiveX 對象、以及一個所謂的“電影”的 URL 鏈接，忽悠人們去下載 Flash 應用程序。

降維安全實驗室了解到該 Flash 應用程序其實是一個混淆的下載器：進程會在內存中創建一個隨機的 512-bit RSA 密鑰對，將私鑰保留在內存中、并將公鑰發送到攻擊者的服務器，以加密 AES 密鑰（用于加密有效負載）。如果你對本文所述惡意軟件的細節感興趣，可聯系降維安全實驗室。[2018/9/12]

全球超過10臺億電腦被植入挖礦插件 黑客利用視頻播網站竊取Monero幣:安全防護與廣告攔截服務商Adguard估計，全球有超過10億用戶的電腦上被安裝了惡意插件，這些插件將利用電腦的處理能力挖掘Monero幣。據報道，視頻網站Openload、Streamango、Rapidvideo和OnlineVideoConverter都被指控含有挖礦插件，用戶觀看視頻插件會偷偷運行進行挖礦，然后犯罪分子非法竊取Monero幣獎勵。[2017/12/16]