En mai 2023, les incidents de sécurité ont causé environ 18 millions de dollars de pertes, une diminution significative par rapport au mois précédent, mais la fréquence des incidents de sécurité n'a pas diminué.
Écrit par : Okey Cloud Chain
1. Informations de base
En mai 2023, les incidents de sécurité ont causé environ 18 millions de dollars de pertes, une baisse significative par rapport au mois précédent, mais la fréquence des incidents de sécurité n'a pas diminué. Parmi eux, l'attaque contre le protocole Jimbos a causé environ 7,5 millions de dollars de pertes. Rug Pull, le projet Swaprum de la chaîne Arbitrum, a causé environ 3 millions de dollars de pertes. De plus, les incidents de phishing sur les réseaux sociaux continuent d'émerger les uns après les autres, et il arrive souvent que le Discord de la partie projet soit contrôlé et publie des liens de phishing.
1.1 Inventaire REKT
No.1
Le 1er mai, Level__Finance a été attaqué et a perdu environ 1,1 million de dollars. La cause première est qu'il y a un problème de logique dans le contrat LevelReferralControllerV2. La fonction claimMultiple dans le contrat peut transmettre un ensemble d'époques pour permettre aux utilisateurs de réclamer des récompenses pour chaque époque. Cependant, s'il y a des éléments en double dans le contrat transmis tableau, ces récompenses seront réclamées à plusieurs reprises.
Transaction prête pour l'attaque :
Transactions d'attaque :
Adresse de l'attaquant :
No.2
Le 3 mai, le projet Never Fall a été attaqué, avec une perte de plus de 70 000 $. L'attaquant a manipulé le prix par le biais d'une échappatoire dans le calcul du prix pour réaliser un profit.
Transactions d'attaque :
Adresse de l'attaquant :
N ° 3
Le 3 mai, le jeton AutoDonateUkraine ($ADU) a subi une attaque de prêt flash et a perdu environ 7 000 $. L'attaquant utilise la fonction de livraison pour augmenter le $ADU dans la paire, puis utilise le skim pour extraire l'excès de $ADU.Après plusieurs opérations répétées, le prix dans la paire devient déséquilibré.
Transactions d'attaque :
Adresse de l'attaquant :
Numéro 4
Le 5 mai, Deus Dao ($DEI) a été attaqué à la fois sur les chaînes BSC et Arbitrum et a perdu 1 337 375 $. La principale faille est que la fonction BurnFrom utilise un mauvais calcul d'allocation, ce qui permet aux utilisateurs de manipuler le montant de l'allocation du contrat, ce qui réduction Les jetons du contrat sont transférés.
Transactions d'attaque :
Adresse de l'attaquant :
N ° 5
Le 6 mai, le jeton $BFT semble avoir été attaqué avec une perte d'environ 275 000 USD.
Transactions d'attaque :
Adresse de l'attaquant :
Numéro 6
Le 6 mai, $MELO a été attaqué, car il n'y a pas de contrôle d'autorité dans la fonction de menthe, et n'importe qui peut émettre des jetons supplémentaires et les transférer sur son propre compte.
Transactions d'attaque :
Adresse d'attaque :
**Non.7
Le 9 mai, le jeton MultiChainCapital ($MCC) a subi une attaque de prêt flash. En tant que jeton de déflation réfléchissant, MCC n'a pas libéré Pair dans l'adresse, permettant à l'attaquant d'appeler la fonction de livraison pour frapper le jeton et le vendre à profit. du 10e.
Transactions d'attaque :
Adresse de l'attaquant :
**Non.8
Le 10 mai, le jeton $SNK a été attaqué et l'attaquant a réalisé un bénéfice d'environ 197 000 BUSD. La raison principale de la vulnérabilité est que la méthode de calcul de la récompense est le montant des fonds déposés*le temps de dépôt. Cependant, il n'y a pas de relation correspondante entre le temps de contrôle et le montant des fonds déposés dans le contrat. Un attaquant peut utiliser des paramètres de temps antérieurs et le montant actuel des fonds pour les calculs.
Transactions d'attaque :
Adresse de l'attaquant :
**Non.9
Le 11 mai, le jeton LW a été attaqué et l'attaquant a réalisé un bénéfice de 48 415 $USDT. Il s'agit d'une attaque de manipulation de prix. Lors du processus d'échange d'USDT contre des jetons LW, l'attaquant déclenche le mécanisme de rachat du portefeuille marketing, ce qui augmente le prix des jetons, puis l'attaquant vend les jetons LW pour réaliser un profit.
Transactions d'attaque :
Adresse de l'attaquant :
N°10
Le 11 mai, TrustTheTrident a été attaqué et a perdu environ 95 000 $. La raison principale est que listToken[] dans le contrat peut être défini dans la fonction addLiquidity(). Cependant, il s'agit d'une opération qui doit être effectuée par un administrateur. En utilisant cette vulnérabilité, un pirate peut définir un jeton qu'il a créé lui-même dans listToken et appeler sell pour le vendre.
Transactions d'attaque :
Adresse de l'attaquant :
No.11
Le 13 mai, bitpaidio a été attaqué et a perdu environ 30 000 $. La cause principale du problème était que Lock_Token() ne mettait pas correctement à jour l'heure de verrouillage. L'attaquant a fait un verrou () il y a 6 mois, ce qui a entraîné le calcul d'une quantité excessive de récompenses lors du retrait ().
Transactions d'attaque :
Transaction prête pour l'attaque :
Adresse de l'attaquant :
No.12
Le 13 mai, TrustTheTrident a de nouveau été attaqué et a perdu environ 279 BNB. TrustTheTrident permet aux utilisateurs de court-circuiter les jetons, mais le prix dépend de la paire et est facilement manipulable.
Transactions d'attaque :
Adresse de l'attaquant :
No.13
Le 14 mai, TrustTheTrident a de nouveau été attaqué, et le montant de la perte était inconnu. La cause première était que la fonction Claim() du contrat StakingRewards n'a pas correctement vérifié les paramètres d'entrée, permettant à l'attaquant de transmettre un faux jeton au lieu de l'USDT. pour obtenir plus de récompenses.
Transactions d'attaque :
Adresse de l'attaquant :
No.14
Le 14 mai, landNFT a été attaqué. La raison principale était que la fonction de monnayage du projet manquait de contrôle des autorisations. L'attaquant a frappé 200 LandNFT pour lui-même, réalisant un bénéfice d'environ 149 616 BUSD.
Transactions d'attaque :
Adresse de l'attaquant :
No.15
Le 20 mai, Tornado Cash a été attaqué par une proposition malveillante. Perdu environ 1,1 million de dollars. L'attaquant a proposé une proposition malveillante. Après l'adoption de la proposition, le code du contrat de proposition a été modifié par l'autodestruction du contrat, puis par un redéploiement. Lorsque le contrat en espèces de la tornade a exécuté la proposition, des votes supplémentaires ont été émis pour que l'adresse préparée par l'attaquant gagne contrôle du contrat.
Transactions d'attaque :
Adresse de l'attaquant :
No.16
Le 23 mai, les jetons LFI ont été attaqués et ont perdu environ 36 000 USD.
Transactions d'attaque :
Adresse de l'attaquant :
No.17
Le 23 mai, le jeton $CS a subi une attaque de prêt flash et l'attaquant a réalisé un bénéfice d'environ 714 000 USD. La raison principale de la vulnérabilité est que les jetons $CS détruiront une partie des jetons de la paire lors de chaque transaction (ou transfert) pour augmenter le prix. Le burnAmount est calculé par sellAmount, mais la valeur de sellAmount n'est pas mise à jour. Cela permet aux attaquants de vendre des jetons à des prix élevés pour réaliser un profit en faisant grimper les prix des jetons par le biais de plusieurs transactions.
Transactions d'attaque :
Adresse de l'attaquant :
No.18
Le 23 mai, LOCALTRADERSCL ($LCT) a été attaqué et a perdu environ 384BNB.
Transactions d'attaque :
Adresse de l'attaquant :
No.19
Le 25 mai, GPT a été attaqué et a perdu environ 42k USD. La principale raison de la vulnérabilité est que le mécanisme de gravure de jetons peut être déclenché en plaçant des jetons dans la paire, puis en écrémant, faisant ainsi monter le prix.
Transactions d'attaque :
N°20
Le 26 mai, CNN a été attaqué et l'attaquant a réalisé un bénéfice d'environ 5,6k USD.
Transactions d'attaque :
Adresse de l'attaquant :
No.21
Le 28 mai, le protocole jimbos a été attaqué et a perdu environ 7,5 millions de dollars.
Transactions d'attaque :
Adresse de l'attaquant :
No.22
Le 29 mai, babydogecoin a été attaqué et a perdu environ 157 000 $. La clé de l'attaque était que dans le contrat FarmZAP, la transaction babydoge bénéficie d'un taux de frais de 0. L'attaquant a utilisé le mécanisme de retour babydoge pour provoquer une différence de prix entre le routeur babydoge de FarmZAP et la paire babydoge dans la crêpe Réaliser l'arbitrage.
Transactions d'attaque :
Adresse de l'attaquant :
No.23
Le 30 mai, le coffre-fort d'ede_finance a été exploité, et environ 580 000 $ ont été perdus, et l'attaquant a restitué 90 % des fonds.
Adresse de l'attaquant :
No.24
Le 31 mai, ERC20TokenBank a été attaqué et a perdu environ 119 000 $.
Transactions d'attaque :
Adresse de l'attaquant :
1.2 Inventaire RugPull
No.1
Le 04 mai, zjz.eth rugpull de wsbcoinofficial ($WSB), $WSB a chuté de 86%, zjz.eth a vidé la majeure partie de WSB et a réalisé un bénéfice de 334ETH (environ 653k USD).
No.2
05 mai, YODA token rugpull, YODA a chuté de -100 %, yodacoineth a supprimé son compte/groupe social, les escrocs ont transféré 68 ETH (130 000 $) à FixedFloat.
N ° 3
Hakuna Matata rugpull le 08 mai, HAKUNA a chuté de -100%.
Numéro 4
Le 09 mai, Derpman robuste, DMAN a chuté de -100 %, profitant d'environ 48,55 $ ETH.
N ° 5
Le 15 mai, le gang rugpull crée de faux jetons tels que #PEPEPE, #LADYS, #BENZ, #GGBOND, #BENEN, #NEWPEPE, #PEN, #TURBOO, #PEPELOL depuis 3 jours. Les escrocs ont transféré environ 12 ETH au MEXC.
Numéro 6
Le 19 mai, Swaprum a grossi sur Arbitrum, réalisant un bénéfice d'environ 3 millions de dollars. Les déployeurs de Swaprum utilisent la fonction de porte dérobée add() pour voler les jetons LP promis par les utilisateurs, puis retirer les liquidités du pool à des fins lucratives.
No.7
26 mai, rugpull de @SeaSwapSui, qui a supprimé Twitter et d'autres comptes sociaux. Les administrateurs ont retiré de toute urgence SUI du contrat de vente de jetons, pour un total de 32 787 SUI (32 000 $).
**Non.8
Le 30 mai, BlockGPT_BSC durci. Le bénéfice est d'environ 816 BNB (environ 256 000 $).
1.3 Inventaire de fraude sur les réseaux sociaux et d'hameçonnage
No.1
Le 1er mai, un site Web de phishing a été promu sur Twitter, n'interagissez pas avec hxxps://claimbob.site/.
No.2
Le 02 mai, un faux site Web de phishing CertiK est apparu, n'interagissez pas avec hxxps://claim.certik.app/.
N ° 3
Le 04 mai, le serveur Syncera_io Discord a été compromis, veuillez ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
Numéro 4
Le 04 mai, un faux compte Pepe Coin est apparu sur Twitter, n'interagissez pas avec hxxps://pepegives.xyz/.
N ° 5
Le serveur FeetLabsHQ Discord a été attaqué le 05 mai, veuillez ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
Numéro 6
Le 06 mai, le serveur Discord STFX_IO a été attaqué, merci de ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
No.7
Le 07 mai, un faux site Web de réclamation de Pepe est apparu, n'interagissez pas avec hxxps://pepegift.org/
No.8
Le 08 mai, un lien de phishing a été posté sur le serveur Evmos Discord, merci de ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.9
Le 08 mai, un faux compte MetaMask est apparu sur Twitter, ne vous connectez pas avec le site Web hxxps://meta-token.net/#.
N°10
Le 08 mai, un faux site Web de réclamation de Bob est apparu, n'interagissez pas avec hxxps://bob-airdrop.com/.
No.11
Le 09 mai, le faux compte peckShield est apparu sur Twitter, ne croyez rien d'accrocheur de ce compte.
N°12
Le 09 mai, un faux site Web de largage de Ben est apparu, n'interagissez pas avec hxxps://bencoineth.net/.
No.13
Le 10 mai, un faux site Web de réclamation Pepe est apparu, n'interagissez pas avec hxxps://rewardspepe.com/.
No.14
Le 11 mai, soyez conscient que de faux sites de revendication layerzero sont promus sur Twitter et n'interagissez pas avec le site hxxps://layerzero-network.app/.
No.15
Le 14 mai, le serveur OnchainTrade Discord a été compromis, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.16
Le serveur opentensor Discord a été compromis le 14 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.17
Les serveurs Twitter et #Discord de BTFDRabbits ont été compromis le 15 mai, veuillez ne cliquer sur aucun lien sur l'une ou l'autre plate-forme tant que l'équipe n'a pas confirmé le contrôle.
No.18
Le 15 mai, un lien de phishing a été publié sur le serveur Tyche Protocol Discord, veuillez ne cliquer sur aucun lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
N°19
Le 16 mai, le serveur Discord de taskonxyz a été compromis par un faux lien de phishing publié, n'interagissez pas avec hxxps://airdrop.taskon.tech/.
No.20
Le serveur Freshcut #Discord a été compromis le 16 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.21
Le serveur MorphexFTM #Discord a été compromis le 16 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.22
Le 17 mai, le serveur NEARProtocol Discord a été compromis, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.23
Le serveur Discord lifiprotocol a été compromis le 17 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.24
Le serveur Discord auroraisnear a été compromis le 17 mai, merci de ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°25
Le serveur Probably0 Discord a été compromis le 18 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°26
Le 18 mai, le serveur oDDbOOG Discord a été attaqué, merci de ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
N°27
Le serveur HoraHub Discord a été compromis le 19 mai, veuillez ne cliquer sur aucun lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°28
Le serveur ArbitrumNewsDAO Discord a été compromis le 19 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°29
Le 20 mai, le compte Twitter avianfoundation a été piraté et fait la promotion d'un site de phishing, n'interagissez pas avec hxxps://avn.finance/.
N°30
Le 20 mai, méfiez-vous des faux sites de réclamation de pièces de monnaie yoda promus sur Twitter et n'interagissez pas avec hxxps://claim-yoda.com.
N°31
Le 20 mai, méfiez-vous des faux sites de réclamation Psyop promus sur Twitter et n'interagissez pas avec hxxps://claim-psyop.live/.
No.32
Le serveur VenomBridge Discord a été compromis le 21 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.33
Le serveur asymmetryfin Discord a été compromis le 22 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.34
Faux compte Twitter Dex Tools le 22 mai. N'interagissez pas avec le site Web hxxps://dextoois.com/.
N°35
Le serveur Superlotl Discord a été compromis le 22 mai, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°36
Le serveur Discord zerpmonxrp a été compromis le 23 mai, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°37
Le serveur mail3dao Discord a été compromis le 23 mai, merci de ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
N°38
Le 23 mai, un lien de phishing a été publié sur le serveur MetaStars Striker Discord, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
2. Résumé de sécurité
En mai 2023, un certain nombre d'incidents de sécurité se sont produits dans DeFi. Les exploits de logique de code, la manipulation du prix des prêts flash, etc. sont encore des méthodes d'attaque couramment utilisées par les pirates. Les jetons avec des modèles économiques plus complexes tels que des mécanismes de réflexion et des mécanismes de refusion sont plus susceptibles de devenir la cible d'une attaque. Dans le même temps, de nouvelles méthodes d'attaque sont apparues, comme l'attaque par proposition malveillante subie par Tornado Cash. Afin d'éviter que des incidents similaires ne se reproduisent, les développeurs doivent prendre des mesures pour assurer la sécurité du projet, notamment en vérifiant entièrement la logique du code et le modèle économique, en auditant régulièrement le projet et en publiant un plan de primes de bogues après la mise en ligne du projet. Dans le même temps, des incidents de phishing sur les réseaux sociaux se sont également produits fréquemment ce mois-ci. Les investisseurs doivent rester vigilants et veiller à vérifier pleinement l'authenticité des liens avant d'interagir avec eux afin d'éviter les pertes d'actifs.
Voir l'original
Le contenu est fourni à titre de référence uniquement, il ne s'agit pas d'une sollicitation ou d'une offre. Aucun conseil en investissement, fiscalité ou juridique n'est fourni. Consultez l'Avertissement pour plus de détails sur les risques.
OKLink : Inventaire des incidents de sécurité en mai 2023
Écrit par : Okey Cloud Chain
1. Informations de base
En mai 2023, les incidents de sécurité ont causé environ 18 millions de dollars de pertes, une baisse significative par rapport au mois précédent, mais la fréquence des incidents de sécurité n'a pas diminué. Parmi eux, l'attaque contre le protocole Jimbos a causé environ 7,5 millions de dollars de pertes. Rug Pull, le projet Swaprum de la chaîne Arbitrum, a causé environ 3 millions de dollars de pertes. De plus, les incidents de phishing sur les réseaux sociaux continuent d'émerger les uns après les autres, et il arrive souvent que le Discord de la partie projet soit contrôlé et publie des liens de phishing.
1.1 Inventaire REKT
No.1
Le 1er mai, Level__Finance a été attaqué et a perdu environ 1,1 million de dollars. La cause première est qu'il y a un problème de logique dans le contrat LevelReferralControllerV2. La fonction claimMultiple dans le contrat peut transmettre un ensemble d'époques pour permettre aux utilisateurs de réclamer des récompenses pour chaque époque. Cependant, s'il y a des éléments en double dans le contrat transmis tableau, ces récompenses seront réclamées à plusieurs reprises.
Transaction prête pour l'attaque :
Transactions d'attaque :
Adresse de l'attaquant :
No.2
Le 3 mai, le projet Never Fall a été attaqué, avec une perte de plus de 70 000 $. L'attaquant a manipulé le prix par le biais d'une échappatoire dans le calcul du prix pour réaliser un profit.
Transactions d'attaque :
Adresse de l'attaquant :
N ° 3
Le 3 mai, le jeton AutoDonateUkraine ($ADU) a subi une attaque de prêt flash et a perdu environ 7 000 $. L'attaquant utilise la fonction de livraison pour augmenter le $ADU dans la paire, puis utilise le skim pour extraire l'excès de $ADU.Après plusieurs opérations répétées, le prix dans la paire devient déséquilibré.
Transactions d'attaque :
Adresse de l'attaquant :
Numéro 4
Le 5 mai, Deus Dao ($DEI) a été attaqué à la fois sur les chaînes BSC et Arbitrum et a perdu 1 337 375 $. La principale faille est que la fonction BurnFrom utilise un mauvais calcul d'allocation, ce qui permet aux utilisateurs de manipuler le montant de l'allocation du contrat, ce qui réduction Les jetons du contrat sont transférés.
Transactions d'attaque :
Adresse de l'attaquant :
N ° 5
Le 6 mai, le jeton $BFT semble avoir été attaqué avec une perte d'environ 275 000 USD.
Transactions d'attaque :
Adresse de l'attaquant :
Numéro 6
Le 6 mai, $MELO a été attaqué, car il n'y a pas de contrôle d'autorité dans la fonction de menthe, et n'importe qui peut émettre des jetons supplémentaires et les transférer sur son propre compte.
Transactions d'attaque :
Adresse d'attaque :
**Non.7
Le 9 mai, le jeton MultiChainCapital ($MCC) a subi une attaque de prêt flash. En tant que jeton de déflation réfléchissant, MCC n'a pas libéré Pair dans l'adresse, permettant à l'attaquant d'appeler la fonction de livraison pour frapper le jeton et le vendre à profit. du 10e.
Transactions d'attaque :
Adresse de l'attaquant :
**Non.8
Le 10 mai, le jeton $SNK a été attaqué et l'attaquant a réalisé un bénéfice d'environ 197 000 BUSD. La raison principale de la vulnérabilité est que la méthode de calcul de la récompense est le montant des fonds déposés*le temps de dépôt. Cependant, il n'y a pas de relation correspondante entre le temps de contrôle et le montant des fonds déposés dans le contrat. Un attaquant peut utiliser des paramètres de temps antérieurs et le montant actuel des fonds pour les calculs.
Transactions d'attaque :
Adresse de l'attaquant :
**Non.9
Le 11 mai, le jeton LW a été attaqué et l'attaquant a réalisé un bénéfice de 48 415 $USDT. Il s'agit d'une attaque de manipulation de prix. Lors du processus d'échange d'USDT contre des jetons LW, l'attaquant déclenche le mécanisme de rachat du portefeuille marketing, ce qui augmente le prix des jetons, puis l'attaquant vend les jetons LW pour réaliser un profit.
Transactions d'attaque :
Adresse de l'attaquant :
N°10
Le 11 mai, TrustTheTrident a été attaqué et a perdu environ 95 000 $. La raison principale est que listToken[] dans le contrat peut être défini dans la fonction addLiquidity(). Cependant, il s'agit d'une opération qui doit être effectuée par un administrateur. En utilisant cette vulnérabilité, un pirate peut définir un jeton qu'il a créé lui-même dans listToken et appeler sell pour le vendre.
Transactions d'attaque :
Adresse de l'attaquant :
No.11
Le 13 mai, bitpaidio a été attaqué et a perdu environ 30 000 $. La cause principale du problème était que Lock_Token() ne mettait pas correctement à jour l'heure de verrouillage. L'attaquant a fait un verrou () il y a 6 mois, ce qui a entraîné le calcul d'une quantité excessive de récompenses lors du retrait ().
Transactions d'attaque :
Transaction prête pour l'attaque :
Adresse de l'attaquant :
No.12
Le 13 mai, TrustTheTrident a de nouveau été attaqué et a perdu environ 279 BNB. TrustTheTrident permet aux utilisateurs de court-circuiter les jetons, mais le prix dépend de la paire et est facilement manipulable.
Transactions d'attaque :
Adresse de l'attaquant :
No.13
Le 14 mai, TrustTheTrident a de nouveau été attaqué, et le montant de la perte était inconnu. La cause première était que la fonction Claim() du contrat StakingRewards n'a pas correctement vérifié les paramètres d'entrée, permettant à l'attaquant de transmettre un faux jeton au lieu de l'USDT. pour obtenir plus de récompenses.
Transactions d'attaque :
Adresse de l'attaquant :
No.14
Le 14 mai, landNFT a été attaqué. La raison principale était que la fonction de monnayage du projet manquait de contrôle des autorisations. L'attaquant a frappé 200 LandNFT pour lui-même, réalisant un bénéfice d'environ 149 616 BUSD.
Transactions d'attaque :
Adresse de l'attaquant :
No.15
Le 20 mai, Tornado Cash a été attaqué par une proposition malveillante. Perdu environ 1,1 million de dollars. L'attaquant a proposé une proposition malveillante. Après l'adoption de la proposition, le code du contrat de proposition a été modifié par l'autodestruction du contrat, puis par un redéploiement. Lorsque le contrat en espèces de la tornade a exécuté la proposition, des votes supplémentaires ont été émis pour que l'adresse préparée par l'attaquant gagne contrôle du contrat.
Transactions d'attaque :
Adresse de l'attaquant :
No.16
Le 23 mai, les jetons LFI ont été attaqués et ont perdu environ 36 000 USD.
Transactions d'attaque :
Adresse de l'attaquant :
No.17
Le 23 mai, le jeton $CS a subi une attaque de prêt flash et l'attaquant a réalisé un bénéfice d'environ 714 000 USD. La raison principale de la vulnérabilité est que les jetons $CS détruiront une partie des jetons de la paire lors de chaque transaction (ou transfert) pour augmenter le prix. Le burnAmount est calculé par sellAmount, mais la valeur de sellAmount n'est pas mise à jour. Cela permet aux attaquants de vendre des jetons à des prix élevés pour réaliser un profit en faisant grimper les prix des jetons par le biais de plusieurs transactions.
Transactions d'attaque :
Adresse de l'attaquant :
No.18
Le 23 mai, LOCALTRADERSCL ($LCT) a été attaqué et a perdu environ 384BNB.
Transactions d'attaque :
Adresse de l'attaquant :
No.19
Le 25 mai, GPT a été attaqué et a perdu environ 42k USD. La principale raison de la vulnérabilité est que le mécanisme de gravure de jetons peut être déclenché en plaçant des jetons dans la paire, puis en écrémant, faisant ainsi monter le prix.
Transactions d'attaque :
N°20
Le 26 mai, CNN a été attaqué et l'attaquant a réalisé un bénéfice d'environ 5,6k USD.
Transactions d'attaque :
Adresse de l'attaquant :
No.21
Le 28 mai, le protocole jimbos a été attaqué et a perdu environ 7,5 millions de dollars.
Transactions d'attaque :
Adresse de l'attaquant :
No.22
Le 29 mai, babydogecoin a été attaqué et a perdu environ 157 000 $. La clé de l'attaque était que dans le contrat FarmZAP, la transaction babydoge bénéficie d'un taux de frais de 0. L'attaquant a utilisé le mécanisme de retour babydoge pour provoquer une différence de prix entre le routeur babydoge de FarmZAP et la paire babydoge dans la crêpe Réaliser l'arbitrage.
Transactions d'attaque :
Adresse de l'attaquant :
No.23
Le 30 mai, le coffre-fort d'ede_finance a été exploité, et environ 580 000 $ ont été perdus, et l'attaquant a restitué 90 % des fonds.
Adresse de l'attaquant :
No.24
Le 31 mai, ERC20TokenBank a été attaqué et a perdu environ 119 000 $.
Transactions d'attaque :
Adresse de l'attaquant :
1.2 Inventaire RugPull
No.1
Le 04 mai, zjz.eth rugpull de wsbcoinofficial ($WSB), $WSB a chuté de 86%, zjz.eth a vidé la majeure partie de WSB et a réalisé un bénéfice de 334ETH (environ 653k USD).
No.2
05 mai, YODA token rugpull, YODA a chuté de -100 %, yodacoineth a supprimé son compte/groupe social, les escrocs ont transféré 68 ETH (130 000 $) à FixedFloat.
N ° 3
Hakuna Matata rugpull le 08 mai, HAKUNA a chuté de -100%.
Numéro 4
Le 09 mai, Derpman robuste, DMAN a chuté de -100 %, profitant d'environ 48,55 $ ETH.
N ° 5
Le 15 mai, le gang rugpull crée de faux jetons tels que #PEPEPE, #LADYS, #BENZ, #GGBOND, #BENEN, #NEWPEPE, #PEN, #TURBOO, #PEPELOL depuis 3 jours. Les escrocs ont transféré environ 12 ETH au MEXC.
Numéro 6
Le 19 mai, Swaprum a grossi sur Arbitrum, réalisant un bénéfice d'environ 3 millions de dollars. Les déployeurs de Swaprum utilisent la fonction de porte dérobée add() pour voler les jetons LP promis par les utilisateurs, puis retirer les liquidités du pool à des fins lucratives.
No.7
26 mai, rugpull de @SeaSwapSui, qui a supprimé Twitter et d'autres comptes sociaux. Les administrateurs ont retiré de toute urgence SUI du contrat de vente de jetons, pour un total de 32 787 SUI (32 000 $).
**Non.8
Le 30 mai, BlockGPT_BSC durci. Le bénéfice est d'environ 816 BNB (environ 256 000 $).
1.3 Inventaire de fraude sur les réseaux sociaux et d'hameçonnage
No.1
Le 1er mai, un site Web de phishing a été promu sur Twitter, n'interagissez pas avec hxxps://claimbob.site/.
No.2
Le 02 mai, un faux site Web de phishing CertiK est apparu, n'interagissez pas avec hxxps://claim.certik.app/.
N ° 3
Le 04 mai, le serveur Syncera_io Discord a été compromis, veuillez ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
Numéro 4
Le 04 mai, un faux compte Pepe Coin est apparu sur Twitter, n'interagissez pas avec hxxps://pepegives.xyz/.
N ° 5
Le serveur FeetLabsHQ Discord a été attaqué le 05 mai, veuillez ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
Numéro 6
Le 06 mai, le serveur Discord STFX_IO a été attaqué, merci de ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
No.7
Le 07 mai, un faux site Web de réclamation de Pepe est apparu, n'interagissez pas avec hxxps://pepegift.org/
No.8
Le 08 mai, un lien de phishing a été posté sur le serveur Evmos Discord, merci de ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.9
Le 08 mai, un faux compte MetaMask est apparu sur Twitter, ne vous connectez pas avec le site Web hxxps://meta-token.net/#.
N°10
Le 08 mai, un faux site Web de réclamation de Bob est apparu, n'interagissez pas avec hxxps://bob-airdrop.com/.
No.11
Le 09 mai, le faux compte peckShield est apparu sur Twitter, ne croyez rien d'accrocheur de ce compte.
N°12
Le 09 mai, un faux site Web de largage de Ben est apparu, n'interagissez pas avec hxxps://bencoineth.net/.
No.13
Le 10 mai, un faux site Web de réclamation Pepe est apparu, n'interagissez pas avec hxxps://rewardspepe.com/.
No.14
Le 11 mai, soyez conscient que de faux sites de revendication layerzero sont promus sur Twitter et n'interagissez pas avec le site hxxps://layerzero-network.app/.
No.15
Le 14 mai, le serveur OnchainTrade Discord a été compromis, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.16
Le serveur opentensor Discord a été compromis le 14 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.17
Les serveurs Twitter et #Discord de BTFDRabbits ont été compromis le 15 mai, veuillez ne cliquer sur aucun lien sur l'une ou l'autre plate-forme tant que l'équipe n'a pas confirmé le contrôle.
No.18
Le 15 mai, un lien de phishing a été publié sur le serveur Tyche Protocol Discord, veuillez ne cliquer sur aucun lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
N°19
Le 16 mai, le serveur Discord de taskonxyz a été compromis par un faux lien de phishing publié, n'interagissez pas avec hxxps://airdrop.taskon.tech/.
No.20
Le serveur Freshcut #Discord a été compromis le 16 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.21
Le serveur MorphexFTM #Discord a été compromis le 16 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.22
Le 17 mai, le serveur NEARProtocol Discord a été compromis, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.23
Le serveur Discord lifiprotocol a été compromis le 17 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
No.24
Le serveur Discord auroraisnear a été compromis le 17 mai, merci de ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°25
Le serveur Probably0 Discord a été compromis le 18 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°26
Le 18 mai, le serveur oDDbOOG Discord a été attaqué, merci de ne cliquer sur aucun lien tant que l'équipe n'est pas sûre d'avoir repris le contrôle du serveur.
N°27
Le serveur HoraHub Discord a été compromis le 19 mai, veuillez ne cliquer sur aucun lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°28
Le serveur ArbitrumNewsDAO Discord a été compromis le 19 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme avoir repris le contrôle du serveur.
N°29
Le 20 mai, le compte Twitter avianfoundation a été piraté et fait la promotion d'un site de phishing, n'interagissez pas avec hxxps://avn.finance/.
N°30
Le 20 mai, méfiez-vous des faux sites de réclamation de pièces de monnaie yoda promus sur Twitter et n'interagissez pas avec hxxps://claim-yoda.com.
N°31
Le 20 mai, méfiez-vous des faux sites de réclamation Psyop promus sur Twitter et n'interagissez pas avec hxxps://claim-psyop.live/.
No.32
Le serveur VenomBridge Discord a été compromis le 21 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.33
Le serveur asymmetryfin Discord a été compromis le 22 mai, veuillez ne cliquer sur aucun lien jusqu'à ce que l'équipe confirme qu'elle a repris le contrôle du serveur.
No.34
Faux compte Twitter Dex Tools le 22 mai. N'interagissez pas avec le site Web hxxps://dextoois.com/.
N°35
Le serveur Superlotl Discord a été compromis le 22 mai, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°36
Le serveur Discord zerpmonxrp a été compromis le 23 mai, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé qu'elle a repris le contrôle du serveur.
N°37
Le serveur mail3dao Discord a été compromis le 23 mai, merci de ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
N°38
Le 23 mai, un lien de phishing a été publié sur le serveur MetaStars Striker Discord, veuillez ne pas cliquer sur le lien tant que l'équipe n'a pas confirmé avoir repris le contrôle du serveur.
2. Résumé de sécurité
En mai 2023, un certain nombre d'incidents de sécurité se sont produits dans DeFi. Les exploits de logique de code, la manipulation du prix des prêts flash, etc. sont encore des méthodes d'attaque couramment utilisées par les pirates. Les jetons avec des modèles économiques plus complexes tels que des mécanismes de réflexion et des mécanismes de refusion sont plus susceptibles de devenir la cible d'une attaque. Dans le même temps, de nouvelles méthodes d'attaque sont apparues, comme l'attaque par proposition malveillante subie par Tornado Cash. Afin d'éviter que des incidents similaires ne se reproduisent, les développeurs doivent prendre des mesures pour assurer la sécurité du projet, notamment en vérifiant entièrement la logique du code et le modèle économique, en auditant régulièrement le projet et en publiant un plan de primes de bogues après la mise en ligne du projet. Dans le même temps, des incidents de phishing sur les réseaux sociaux se sont également produits fréquemment ce mois-ci. Les investisseurs doivent rester vigilants et veiller à vérifier pleinement l'authenticité des liens avant d'interagir avec eux afin d'éviter les pertes d'actifs.