慢雾安全

ChainCatcher 消息，据官方消息，区块链安全机构慢雾（SlowMist）近期发布安全评估报告，对 OKX Wallet 进行专项审计。结果显示，在已审核版本中，未发现应用向外部服务器传输私钥或助记词等敏感信息的行为，整体未检测到敏感数据泄露风险。 据悉，此次评估重点围绕 OKX Wallet 是否存在私钥及助记词外传问题展开，结果表明相关核心信息均在本地处理。当前私钥与助记词的处理方式已成为钱包安全核心，此类审计结果也为用户提供了更直接的安全参考。

ChainCatcher 消息，据慢雾安全团队发布预警，EOS 区块链正遭遇地址投毒攻击。恶意账户向用户发送 0.001 枚 EOS 代币以实施地址投毒，目前已发现多个假冒交易平台的账户。 这些攻击者创建与知名交易平台账户极为相似的假账户，如假冒 OKX 的“oktothemoon”，真实账户为“okbtothemoon”；假冒 Binance 的“binanecleos”，真实账户为“binancecleos”。

ChainCatcher 消息，慢雾安全团队创始人余弦发文警告，马来西亚前首相马哈蒂尔·穆罕默德（Mahathir Mohamad）的 X 平台账号遭到黑客入侵。黑客利用该账号发布虚假代币信息进行诈骗。追踪显示，相关代币合约的创建者与历史作恶团伙存在关联。

ChainCatcher 消息，近期有攻击者利用 WordPress 插件漏洞攻击正常的站点，然后在站点中注入恶意的 js 代码，发起水坑攻击，在用户访问站点时弹出恶意弹窗，骗取用户执行恶意的代码或进行 Web3 钱包签名，从而盗取用户的资产。 建议有使用 WordPress 插件的站点注意排查是否存在漏洞，及时更新插件，避免被攻击；用户在访问任何站点的时候，要仔细识别下载的程序以及 Web3 签名的内容，避免下载到恶意程序或因授权了恶意的签名导致资产被盗。

ChainCatcher 消息，慢雾发布每周安全报告，上周加密领域损失超 9000 万美元资金。其中 Prisma Finance 因黑客攻击造成约 1160 万美元损失；Munchables 因内部操纵损失约 6280 万美元；ZongZiFa 因闪电贷攻击损失约 22.9 万美元；Curio 生态系统的 RWA 基础设施因合约逻辑缺陷损失约 1600 万美元。

ChainCatcher 消息，慢雾发布每周安全报告，上周加密领域损失超 1140 万美元资金。其中 Super Sushi Samurai 被攻击事件造成 460 万美元损失； Dolomite 由于旧合约漏洞造成 180 万美元损失； AirDAO 因网络钓鱼攻击造成 105 万美元损失； TICKER 因内部操纵造成 90 万美元损失； ParaSwap 因智能合约漏洞造成 2.4 万美元损失； LayerSwap 因 DNS 劫持导致 10 万美元损失； 假冒 Ansem 网络钓鱼计划造成 260 万美元损失。

ChainCatcher 消息，据慢雾统计，过去一周 Web3 生态系统因安全事件损失约 2400 万美元，包括 Atlantis Loans、Ben Armstrong、TrustTheTrident、FPG、Sturdy、Pawnfi、Move VM、Hashflow、DEP/USDT 与 LEV/USDC、Midas Capital，总计 23,795,800 美元。（来源链接）

ChainCatcher 消息，据慢雾区情报，靓号黑客地址之一（0xf358..7036）已经获取到 ParaSwap Deployer 和 QANplatform Deployer 私钥权限。黑客从 ParaSwap Deployer 地址获取到约 1 千美元，并在 QANplatform Deployer 地址做了转入转出测试。 慢雾 MistTrack 对 0xf358..7036 分析后发现，黑客同样盗取了 The SolaVerse Deployer 及其他多个靓号的资金。截止目前，黑客已经接收到超过 17 万美元的资金，资金没有进一步转移，地址痕迹有 Uniswap V3、Curve、Trader Joe，PancakeSwap、OpenSea 和 Matcha。慢雾 MistTrack 将持续监控黑客地址并分析相关痕迹。

链捕手消息，针对合约无限授权引发的用户资产被盗问题，Web3 安全生态基础设施 GoPlus Security 联合慢雾安全提交限时授权解决方案 EIP。 据悉，该解决方案有三个新特性：1.把控制权交还用户，用户可以对其 ERC-20 代币的 APPROVAL 进行设置，使用默认周期自动回收授权，或者自定义时间，实现授权的自动回收，及时规避风险；2.完全兼容 ERC20 标准，加密钱包、DEX 等应用无需任何修改即可使用新特性 ；3. implementation 符合标准的 proxy 合约可通过升级支持本标准。 据了解，GoPlus Security 在提交限时授权 EIP 的同时，也在近期上线了授权检测和管理 API，通过接入 API，各类 Web3 产品都可以轻松为自己的用户提供体验良好的授权管理功能，用户在授权时就可以看到授权对象是否安全，是否是恶意合约、失效合约，同时也可以看到自己授权的所有合约列表是否存在风险。

链捕手消息，据慢雾区情报，朝鲜 APT 组织 Lazarus Group 使用一系列恶意应用程序针对数字货币行业进行定向 APT 攻击： 1，该黑客组织充分采用社会工程学原理，在各大社交媒体中扮演角色（社交媒体包括 twitter，Facebook，LinkedIn等） 2，与区块链行业开发人员聊天，接近，以便实施接下来的行动。 3，该黑客组织为了和开发人员“套近乎”，甚至建立自己的交易网站，通过这个看起来非常正常的网站，打出外包员工招募等幌子。 4，借机骗取开发人员的信任，然后发送相关恶意软件进行钓鱼攻击。（发送 DMG /EXE 木马） 针对该事件，慢雾给出以下防范建议：建议行业从业人员随时关注国内外各大威胁平台安全情报，做好自我排查，提高警惕；开发人员运行可执行程序之前，做好必要的安全检查；做好零信任机制，可以有效降低这类威胁带来的风险；建议 Mac/Windows 实机运行的用户保持安全软件实时防护开启，并随时更新最新病毒库。

12 月 30 日，在慢雾科技主办的「Hacking Time 区块链安全攻防峰会」上，慢雾科技高级安全工程师 yudan 和 Kong 根据 bZx 最早期的两次闪电贷攻击案例，介绍了闪电贷基本的攻击形式——代币价格操纵，详细讲述了基于价格操纵的闪电贷的防御方案以及在其价格无法被操纵的情况下，如何利用闪电贷另辟蹊径，通过操纵 LP Token 的单价来进行获利。并通过慢雾被黑档案库（hacked.slowmist.io）与大家一起回顾了 2020 DeFi 被黑事件。 yudan 和 Kong 认为，「DeFi 安全形势严峻，安全审计是目前保护项目安全最高性价比的方式。在当下 DeFi 黑暗森林里我们在临渊而行，需如履薄冰。