Web3 攻击事件及安全事故

ChainCatcher 消息，NEAR Intents 发布安全通报确认遭遇攻击。初步调查显示，漏洞源于 Omni 充提基础设施与合约交互缺陷，目前已完成合约漏洞修复，预计 1 小时内恢复核心服务，并承诺对受损资产进行全额赔付。 NEAR Intents 表示，BSC、Polygon、TON 等多条公链的充提服务将额外暂停约 12 小时，相关案件已报案并展开链上追踪。 随后，链上侦探 ZachXBT 表示，NEAR Intents的 BSC 热钱包出现多笔异常资金流出，被盗资金已转入 KuCoin，并进一步跨链至比特币网络。目前涉案金额超过 380 万美元。

ChainCatcher 消息，据 Blockaid 监测，Flamingo Finance 遭遇攻击，攻击者通过 Morpho 闪电贷借出约 1800 万美元 USDT，在交易过程中将 Curve USDP LP 质押进 Strategy 以抬高 VaultYUSDT 份额价格，随后赎回流动性 aUSDT。 目前攻击者已实现约 34.59 万美元 USDT 利润。

ChainCatcher 消息，据 Decrypt 报道，跨链桥协议 Allbridge 因遭遇闪电贷攻击暂停 Core 协议，目前攻击者已从 Solana 稳定币流动性池中盗取约 165 万美元资产。 据区块链安全机构 PeckShield 和 CertiK 分析，攻击者通过 Solana 借贷协议 Kamino 借入 112 万美元闪电贷资金，随后通过多次稳定币兑换操作操纵 Allbridge 池内价格机制，以低价兑换资产，并将资金跨链转移至以太坊地址。 攻击过程中，攻击者用数千美元 USDT 兑换获得约 224 万美元 USDC，随后将资金桥接至以太坊并进一步分散。目前部分资金是否仍可追回尚不明确。 Allbridge 表示，团队已出于安全考虑暂停 Core 协议，并要求受影响流动性提供者立即撤出资金。由于攻击导致流动性池失衡，部分交易者利用套利机会获利，Allbridge 呼吁相关用户返还收益，称资金将用于补偿受影响 LP。 团队表示，目前用户资金不存在进一步风险，并将在完成调查后发布详细事件分析报告，同时计划在移除流动性池的情况下重新上线 Core 协议。这是 Allbridge 第二次遭遇类似闪电贷攻击。2023 年 4 月，该协议 BNB Chain 流动性池曾因类似漏洞损失约 57.3 万美元，之后项目方曾表示追回大部分资金并调整流动性计算机制。

ChainCatcher 消息，慢雾发布安全预警称，Aurellion 遭遇攻击，损失约 455,003 枚 USDC（约 45.5 万美元）。 分析指出，漏洞根源在于 SafeOwnable Facet 中的 initialize(address) 函数缺乏有效保护。由于 Diamond 合约在设置 owner 时未通过 initialize 路径，导致 _initialized 版本槽未正确更新，攻击者得以重新初始化合约并覆盖 owner 权限。 随后，攻击者调用 diamondCut 注入恶意 Facet，并通过恶意 pullERC20 功能转移已授权用户的 USDC 资产，最终完成资金盗取。

ChainCatcher 消息，据 The Street 报道，借贷协议 Purrlend 在 MegaETH 和 HyperEVM 网络遭遇攻击，损失约 152 万美元。 攻击者从 HyperEVM 网络提取约 120 万美元资产，包括 449,683 枚 USDC、214,125 枚 USDT、194,745 枚 USDH 以及部分 UBTC、wstHYPE、UETH、kHYPE 和 WHYPE。攻击者另从 MegaETH 网络提取约 32.4 万美元资产，包括 USDT、WETH 和 USDm。 目前 Purrlend 已暂停协议并展开调查，攻击者地址已在两网络区块浏览器中被识别。