Web3 攻击事件及安全事故

ChainCatcher 消息，据 Decrypt 报道，跨链桥协议 Allbridge 因遭遇闪电贷攻击暂停 Core 协议，目前攻击者已从 Solana 稳定币流动性池中盗取约 165 万美元资产。 据区块链安全机构 PeckShield 和 CertiK 分析，攻击者通过 Solana 借贷协议 Kamino 借入 112 万美元闪电贷资金，随后通过多次稳定币兑换操作操纵 Allbridge 池内价格机制，以低价兑换资产，并将资金跨链转移至以太坊地址。 攻击过程中，攻击者用数千美元 USDT 兑换获得约 224 万美元 USDC，随后将资金桥接至以太坊并进一步分散。目前部分资金是否仍可追回尚不明确。 Allbridge 表示，团队已出于安全考虑暂停 Core 协议，并要求受影响流动性提供者立即撤出资金。由于攻击导致流动性池失衡，部分交易者利用套利机会获利，Allbridge 呼吁相关用户返还收益，称资金将用于补偿受影响 LP。 团队表示，目前用户资金不存在进一步风险，并将在完成调查后发布详细事件分析报告，同时计划在移除流动性池的情况下重新上线 Core 协议。这是 Allbridge 第二次遭遇类似闪电贷攻击。2023 年 4 月，该协议 BNB Chain 流动性池曾因类似漏洞损失约 57.3 万美元，之后项目方曾表示追回大部分资金并调整流动性计算机制。

ChainCatcher 消息，慢雾发布安全预警称，Aurellion 遭遇攻击，损失约 455,003 枚 USDC（约 45.5 万美元）。 分析指出，漏洞根源在于 SafeOwnable Facet 中的 initialize(address) 函数缺乏有效保护。由于 Diamond 合约在设置 owner 时未通过 initialize 路径，导致 _initialized 版本槽未正确更新，攻击者得以重新初始化合约并覆盖 owner 权限。 随后，攻击者调用 diamondCut 注入恶意 Facet，并通过恶意 pullERC20 功能转移已授权用户的 USDC 资产，最终完成资金盗取。

ChainCatcher 消息，据 The Street 报道，借贷协议 Purrlend 在 MegaETH 和 HyperEVM 网络遭遇攻击，损失约 152 万美元。 攻击者从 HyperEVM 网络提取约 120 万美元资产，包括 449,683 枚 USDC、214,125 枚 USDT、194,745 枚 USDH 以及部分 UBTC、wstHYPE、UETH、kHYPE 和 WHYPE。攻击者另从 MegaETH 网络提取约 32.4 万美元资产，包括 USDT、WETH 和 USDm。 目前 Purrlend 已暂停协议并展开调查，攻击者地址已在两网络区块浏览器中被识别。

ChainCatcher 消息，链上数据显示，Kelp DAO 基于 LayerZero 的 rsETH 桥接协议疑似遭黑客利用，损失 116,500 个 rsETH，价值约 2.92 亿美元。 Kelp DAO 官方表示，已发现涉及 rsETH 的可疑跨链活动，现已暂停主网和多个 Layer2 上的 rsETH 合约，正在与安全专家合作，后续将通报最新情况。