Web3 攻擊事件及安全事故

ChainCatcher 消息，据 Decrypt 報導，跨鏈橋協議 Allbridge 因遭遇閃電貸攻擊暫停 Core 協議，目前攻擊者已從 Solana 穩定幣流動性池中盜取約 165 萬美元資產。據區塊鏈安全機構 PeckShield 和 CertiK 分析，攻擊者通過 Solana 借貸協議 Kamino 借入 112 萬美元閃電貸資金，隨後通過多次穩定幣兌換操作操縱 Allbridge 池內價格機制，以低價兌換資產，並將資金跨鏈轉移至以太坊地址。攻擊過程中，攻擊者用數千美元 USDT 兌換獲得約 224 萬美元 USDC，隨後將資金橋接至以太坊並進一步分散。目前部分資金是否仍可追回尚不明確。Allbridge 表示，團隊已出於安全考量暫停 Core 協議，並要求受影響流動性提供者立即撤出資金。由於攻擊導致流動性池失衡，部分交易者利用套利機會獲利，Allbridge 呼籲相關用戶返還收益，稱資金將用於補償受影響 LP。團隊表示，目前用戶資金不存在進一步風險，並將在完成調查後發布詳細事件分析報告，同時計劃在移除流動性池的情況下重新上線 Core 協議。這是 Allbridge 第二次遭遇類似閃電貸攻擊。2023 年 4 月，該協議 BNB Chain 流動性池曾因類似漏洞損失約 57.3 萬美元，之後項目方曾表示追回大部分資金並調整流動性計算機制。

ChainCatcher 消息，慢霧發布安全預警稱，Aurellion 遭遇攻擊，損失約 455,003 枚 USDC（約 45.5 萬美元）。分析指出，漏洞根源在於 SafeOwnable Facet 中的 initialize(address) 函數缺乏有效保護。由於 Diamond 合約在設置 owner 時未通過 initialize 路徑，導致 _initialized 版本槽未正確更新，攻擊者得以重新初始化合約並覆蓋 owner 權限。隨後，攻擊者調用 diamondCut 注入惡意 Facet，並透過惡意 pullERC20 功能轉移已授權用戶的 USDC 資產，最終完成資金盜取。

ChainCatcher 消息，据 The Street 報導，借貸協議 Purrlend 在 MegaETH 和 HyperEVM 網絡遭遇攻擊，損失約 152 萬美元。攻擊者從 HyperEVM 網絡提取約 120 萬美元資產，包括 449,683 枚 USDC、214,125 枚 USDT、194,745 枚 USDH 以及部分 UBTC、wstHYPE、UETH、kHYPE 和 WHYPE。攻擊者另從 MegaETH 網絡提取約 32.4 萬美元資產，包括 USDT、WETH 和 USDm。目前 Purrlend 已暫停協議並展開調查，攻擊者地址已在兩網絡區塊瀏覽器中被識別。

ChainCatcher 消息，鏈上數據顯示，Kelp DAO 基於 LayerZero 的 rsETH 橋接協議疑似遭黑客利用，損失 116,500 個 rsETH，價值約 2.92 億美元。Kelp DAO 官方表示，已發現涉及 rsETH 的可疑跨鏈活動，現已暫停主網和多個 Layer2 上的 rsETH 合約，正在與安全專家合作，後續將通報最新情況。