Beosin：2022年全年Web3領域因各類攻擊造成的總損失達到了36億384萬美元

金色財經報道，2022 年全年，Beosin EagleEye 安全風險監控、預警與阻斷平臺共監測到 Web3 領域主要攻擊事件超 167 起，因各類攻擊造成的總損失超 36 億美元，較 2021 年攻擊類損失增加了 47.4%。其中單次損失超過一億美元的安全事件共 10 起，1000 萬至一億美元的安全事件共 21 起。

Beosin：Themis Protocol被攻擊事件分析:據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年6月28日DeFi借貸協議Themis Protocol遭到攻擊，攻擊者獲利約37萬美元，Beosin Trace追蹤發現已有130,471個USDC、58,824個USDT和94個ETH被盜，目前，被盜資金被轉移到以太坊的0xDb73eb484e7DEa3785520d750EabEF50a9b9Ab33地址。其攻擊的原因在于預言機實現存在問題，導致預言機被操縱。

攻擊交易為：0xff368294ccb3cd6e7e263526b5c820b22dea2b2fd8617119ba5c3ab8417403d8。攻擊的核心是攻擊者在借款前，用大量WETH兌換wstETH，使得預言機獲取價格時被操縱，導致攻擊者僅用55WETH借出317WETH。

如圖，在getAssetPrice函數調用Balancer: Vault.getPoolTokens函數時，wstETH與ETH數量從正常的2,423 : 2,796被操縱為0.238 : 42,520.從而操縱了預言機。[2023/6/28 22:05:01]

Beosin：CS (CS)token遭受到攻擊，損失金額截至目前約71.4萬美元:金色財經報道，據區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，2023年5月24日，bsc上鏈的CS(CS)代幣項目遭受攻擊。原因是代幣的_transfer函數中sellAmount沒有及時更新。Beosin安全團隊將簡析分享如下：

1、攻擊者利用閃電貸借入BSC-USD兌換成CS代幣。

2、攻擊者開始賣出3000 CS代幣，這一步會設置sellAmount。

3、攻擊者通過給自己轉賬，會觸發sync()，在這個函數中使用了上一步的sellAmount并且這個函數會銷毀pair的中CS代幣數量。Sync后sellAmount會置為0。重復2，3步持續減少pair中的CS代幣數量，拉升CS代幣的價格，使得后續一步可以兌換出更多的BSC-USD。

借入80,000,000 BSC-USD，兌換出80,954,000 BSC-USD，償還80,240,000 BSC-USD，獲利約714,000 BSC-USD。[2023/5/24 15:22:35]

Beosin：SEAMAN合約遭受漏洞攻擊簡析:金色財經報道，根據區塊鏈安全審計公司Beosin旗下Beosin EagleEye 安全風險監控、預警與阻斷平臺監測顯示，2022年11月29日，SEAMAN合約遭受漏洞攻擊。Beosin分析發現是由于SEAMAN合約在每次transfer函數時，都會將SEAMAN代幣兌換為憑證代幣GVC，而SEAMAN代幣和GVC代幣分別處于兩個交易對，導致攻擊者可以利用該函數影響其中一個代幣的價格。

攻擊者首先通過50萬BUSD兌換為GVC代幣，接下來攻擊者調用SEAMAN合約的transfer函數并轉入最小單位的SEAMAN代幣，此時會觸發合約將能使用的SEAMAN代幣兌換為GVC，兌換過程是合約在BUSD-SEAMAN交易對中將SEAMAN代幣兌換為BUSD，接下來在BUSD-GVC交易對中將BUSD兌換為GVC，攻擊者通過多次調用transfer函數觸發_splitlpToken()函數，并且會將GVC分發給lpUser，會消耗BUSD-GVC交易對中GVC的數量，從而抬高了該交易對中GVC的價格。最后攻擊者通過之前兌換的GVC兌換了50.7萬的BUSD，獲利7781 BUSD。Beosin Trace追蹤發現被盜金額仍在攻擊者賬戶（0x49fac69c51a303b4597d09c18bc5e7bf38ecf89c），將持續關注資金走向。[2022/11/29 21:10:04]