2023年4月28日，据Beosin-EagleEye态势感知平台消息，0vixProtocol项目遭受闪电贷攻击，损失约为200万美元。0VIX在Twitter上证实了此次攻击，并表示“正在调查当前情况”。
Beosin安全团队第一时间对事件进行了分析，结果如下。
QuickSwap因闪电贷攻击损失22万美元，将暂时关闭借贷市场:10月24日消息，据QuickSwap官方推特表示，暂时关闭借贷市场QuickSwap Lend，目前已因闪电贷攻击损失22万美元。本次攻击是通过Curve预言机漏洞实现的，只有Market XYZ借贷市场遭受影响，QuickSwap合约仍是安全的。
此外，QuickSwap表示，由于该市场由QiDAO提供资金，故没有用户的资金受到损失。[2022/10/24 16:37:18]
事件相关信息
攻击交易
0x10f2c28f5d6cd8d7b56210b4d5e0cece27e45a30808cd3d3443c05d4275bb008
CoinShares因UST崩盘损失2140万美元:金色财经报道，加密资产管理公司CoinShares周一发布2021年年度报告。报告中显示，其针对UST的投资敞口出现了1700万英镑（2140万美元）的“异常”亏损。
该公司首席执行官Jean-Marie Mognetti在报告中表示：“我们在清算UST头寸的DeFi活动中计入了1700万英镑的异常亏损。”他补充说，这是一次“令人羞愧的教训”。
根据IFRS编制的数据显示，CoinShares在2021年全年的净亏损从14亿英镑扩大到24亿英镑，尽管营收增长了四倍多。
净亏损主要是由于金融工具的损失。该公司指出，根据IFRS准则，数字资产的收益没有显示在损益表上。
此前消息，加CoinShares发布2021年年度报告。截至2021年年底，该公司净资产超过2亿英镑，较2020年年底（5650万英镑）增加2.5倍。2021年收入达8075万英镑，较2020年（1838万英镑）增加近3.4倍。替代综合收益表显示，2021年营业利润达1.0141亿英镑，较2020年（1711万英镑）增加近5倍。（CoinDesk）[2022/6/1 3:53:52]
攻击者地址
声音 | Ethhub创始人：bZx疑似再次发生攻击 或损失2388个 ETH:以太坊爱好者、Ethhub 创始人 Eric Conner 在推特上表示，bZx 攻击疑似再次出现，如果确认的话，这一次攻击者获利 2,388 个 ETH（约 64.4 万美元）。Eric 表示，攻击者疑似借了 7500 个 ETH，换成 WETH 后，抛售换成 Synthetix 合成的 sUSD。[2020/2/18]
0x702ef63881b5241ffb412199547bcd0c6910a970
攻击合约
0x407feaec31c16b19f24a8a8846ab4939ed7d7d57
被攻击合约
动态 | EOS竞猜类游戏遭遇黑客攻击 损失2000枚EOS:Beosin成都链安预警：近日，根据成都链安区块链安全态势感知系统检测发现，攻击者xs***z及所属多个子账号，在几天内持续对某竞猜类游戏进行攻击并获利2000枚EOS，已于昨晚将盈利转入big.one交易所。经过成都链安技术团队详细分析，攻击者使用的攻击手法仍为通过交易堵塞攻击链上随机数，值得一提的是此次攻击者为了躲避检测，使用了模拟挖矿的方式进行攻击，每次获利仅0.1EOS左右，使得安全检测难度增加。Beosin成都链安在此提醒所有EOS 合约开发者关注合约安全，不要使用不安全的随机数方案。[2019/2/21]
0x738fe8a918d5e43b705fc5127450e2300f7b08ab
攻击流程
1.第一步，攻击者通过闪电贷借出大量的资金，为后面的攻击做准备。
2.第二步，攻击者铸造凭证币，已允许借出其他资产。
3.第三步，攻击者向vGHST地址转入1656000枚GHSTToken。
4.后续清算黑客的借贷头寸，清算借入的头寸用于取回原始抵押品。
5.最后攻击者偿还闪电贷。
漏洞分析
本次攻击黑客利用了VGHSTOracle预言机漏洞，因为VGHSTOracle预言机获取的价格是通过vGHST合约的convertVGHST函数去获取的，而convertVGHST函数中的计算依靠于合约中的GHSTToken数量。
在操控价格前ghst为1038332409246369136，如下图：
攻击者向vGHST地址转入1656000枚GHSTToken后，ghst为1785061331510841538，如下图：
由于抬高了价格，已至于黑客可以清算借入的头寸用于取回原始抵押品。
资金追踪
截止发文时，攻击者通过跨链协议从matic转移到以太坊上，目前被盗资金存放在：
https://etherscan.io/address/0x702Ef63881B5241ffB412199547bcd0c6910A970。BeosinKYT反分析平台正在对被盗资金进行监控。
总结
针对本次事件，Beosin安全团队建议：合约开发时，因避免预言机被操控，建议使用更加安全的预言机来预言价格。项目上线前，建议选择专业的安全审计公司进行全面的安全审计，规避安全风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。