昨日晚间慢雾预警BigGame新上线的代付CPU功能遭受薅羊毛，被恶意利用挖EIDOS；今晨，慢雾再次发布红色预警，攻击者开始利用交易所/DApp的提币功能恶意挖矿，当交易所往攻击者的挖矿合约地址提币时，会触发挖矿逻辑，导致交易所提币钱包的CPU被攻击者利用来挖矿，直至CPU资源耗尽，影响其他正常用户的提币操作。慢雾在预警中建议交易所/DApp在处理EOS及EOS上Token的提币时，检查用户提币地址是否是合约账号。由于部分交易所的EOS充币钱包也是合约账号，因此需要维护一个正常合约账号的白名单，目前慢雾AML团队已经收集了部分此类账号，并通过API开放查询，地址：https://aml.slowmist.com/api/eos_exchange_contract_addr如果其他交易所/DApp的EOS充币钱包也是合约账号但是不在这个白名单中，请将地址发送到慢雾安全团队邮箱，我们将立即更新。
慢雾：BSC项目Value DeFi vSwap 模块被黑简析:据慢雾区情报，币安智能链项目 Value DeFi 的 vSwap 模块被黑，慢雾安全团队第一时间介入分析，并将结果以简讯的形式分享，供大家参考：
1. 攻击者首先使用 0.05 枚 WBNB 通过 vSwap 合约兑换出 vBSWAP 代币；
2. 攻击者在兑换的同时也进行闪电贷操作，因此 vSwap 合约会将兑换的 vBSWAP 代币与闪电贷借出的 WBNB 转给攻击者；
3. 而在完成整个兑换流程并更新池子中代币数量前，会根据池子的 tokenWeight0 参数是否为 50 来选择不同的算法来检查池子中的代币数量是否符合预期；
4. 由于 vSwap 合约的 tokenWeight0 参数设置为 70，因此将会采用第二种算法对池子中的代币数量进行检查；
5. 而漏洞的关键点就在于采用第二种算法进行检查时，可以通过特殊构造的数据来使检查通过；
6. 第二种算法是通过调用 formula 合约的 ensureConstantValue 函数并传入池子中缓存的代币数量与实时的代币数量进行检查的；
7. 在通过对此算法进行具体分析调试后我们可以发现，在使用 WBNB 兑换最小单位(即 0.000000000000000001) vBSWAP 时，池子中缓存的 WBNB 值与实时的值之间允许有一个巨大的波动范围，在此范围内此算法检查都将通过；
8. 因此攻击者可以转入 WBNB 进行最小单位的 vBSWAP 代币兑换的同时，将池子中的大量 WBNB 代币通过闪电贷的方式借出，由于算法问题，在不归还闪电贷的情况下仍可以通过 vSwap 的检查；
9. 攻击者只需要在所有的 vSwap 池子中，不断的重复此过程，即可将池子中的流动性盗走完成获利。详情见原文链接。[2021/5/8 21:37:37]
声音 | 慢雾：警惕“假充值”攻击:慢雾分析预警，如果数字货币交易所、钱包等平台在进行“EOS 充值交易确认是否成功”的判断存在缺陷，可能导致严重的“假充值”。攻击者可以在未损失任何 EOS 的前提下成功向这些平台充值 EOS，而且这些 EOS 可以进行正常交易。
慢雾安全团队已经确认真实攻击发生，但需要注意的是：EOS 这次假充值攻击和之前慢雾安全团队披露过的 USDT 假充值、以太坊代币假充值类似，更多责任应该属于平台方。由于这是一种新型攻击手法，且攻击已经在发生，相关平台方如果对自己的充值校验没有十足把握，应尽快暂停 EOS 充提，并对账自查。[2019/3/12]
动态 | 慢雾区再发预警，请 DApp 开发者自查随机数:知名 DApp EOSDice 再次由于随机数问题被黑，攻击者是之前攻击 EOSDice 及 FFGame DApp 的黑客，攻击手法也是由于使用了可控的随机数种子，在之前（11-8号）慢雾已经预警过攻击手法，请各位 DApp 开发者仔细核对自己的随机数种子和算法是否可被预测，勿存在任何侥幸。[2018/11/10]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。