Sicherheit auf einen Blick 👀
DeFi-Sektor
- UwU Lend Hacks
Am 10. und 13. Juni wurde UwU Lend Opfer von Angriffen, die zu Verlusten von über 23 Millionen US-Dollar führten.
Die Hauptursache des ersten Angriffs war eine anfällige Preisabhängigkeit. Der Kreditpool bezog Preise aus 11 Quellen, darunter 5 aktuelle (AMM-)Preise von Curve, 5 Curve-Orakel- (EMA-)Preise und ein Uniswap- (TWAP-)Preis, wobei letztendlich der Median gebildet wurde. Da aktuelle Preise innerhalb einer einzigen Transaktion manipuliert werden konnten, nutzte der Angreifer einen Flash-Loan, um die 5 aktuellen Preise drastisch zu verändern, was dazu führte, dass der bezogene Preis das Minimum oder Maximum der Orakelpreise war. Dies führte zu einem Verlust von etwa 20 Millionen US-Dollar.
Am 13. Juni startete das UwU Lend-Team das Protokoll neu und wurde erneut angegriffen. Der Angreifer fügte uSUSDe und WETH als Sicherheit hinzu und lieh sich dann WETH basierend auf dem LTV. uSUSDe nahm nicht am LTV teil, wohl aber an der Berechnung des Gesundheitsfaktors bei der Liquiditätsabhebung, was es dem Angreifer ermöglichte, mehr WETH abzuheben und Profit zu machen.
Bemerkenswerterweise twitterte der White Hat makemake_kbo, dass er die Schwachstelle bereits vor einem Jahr gemeldet und das Projektteam kontaktiert habe, ohne eine Antwort zu erhalten, und schließlich eine Warnung auf Twitter herausgab.
- Velocore Hack
Ursache: Ein fehlender Check auf effectiveFee1e9 führte zu einem Unterlauf in der velocore__execute-Funktion. Lesen Sie den Post-Mortem-Bericht des Projekts hier.
Nach dem Angriff stoppte Linea die Blockproduktion für 1 Stunde. Für L2-Projekte ist ein Notfallreaktionsmechanismus effektiver als das Pausieren der gesamten Kette. 👉 Erfahren Sie mehr über die weltweit erste Plattform zur Überwachung und Blockierung von Krypto-Hacks hier.
- Holograph Hack
Holograph kündigte an, dass ein ehemaliger Auftragnehmer das Protokoll ausnutzte, um zusätzliche HLG zu prägen.
Viele frühere Angriffe haben gezeigt, dass Projekte aus Bequemlichkeitsgründen oft das Management privater Schlüssel kompromittieren. Dies setzt sie schweren Risiken aus, sowohl internen als auch externen Angriffen, die Administratorberechtigungen oder private Schlüssel erlangen. Die Verwendung von Phalcon zur externen Überwachung ermöglicht eine operative Überwachung mit einem Klick, was eine frühzeitige Erkennung und Schadensbegrenzung ermöglicht.
Andere
- DMM Exchange Hack
Anfang Juni gab DMM Exchange einen Sicherheitsvorfall bekannt, bei dem am 31. Mai (UTC) 4.502,9 BTC (über 300 Mio. USD) gestohlen wurden.
Ohne weitere Details von DMM bleibt die Ursache unbekannt. Die Adresse des Hackers und die normale Adresse von DMM wiesen jedoch die gleichen ersten fünf und die letzten beiden Zeichen auf, und die gestohlenen BTC stammten von einer Multisig-Adresse. Spekulationen deuten darauf hin, dass ein Off-Chain-Angriff die Übertragungsadresse ersetzt hat, was das Personal dazu verleitet hat, die Transaktion zu signieren. Verwenden Sie MetaSleuth, um die Gelder hier zu verfolgen.
- Kraken
Am 19. Juni gab Nick Percoco, Chief Security Officer von Kraken, auf X bekannt, dass sie über ihr Bug-Bounty-Programm einen Bericht über eine "extrem kritische" Schwachstelle von einem Sicherheitsunternehmen erhalten hätten. Der Bericht behauptete, eine Schwachstelle gefunden zu haben, die die Kontostände künstlich erhöhen könnte. Nachdem Kraken die Schwachstelle behoben hatte, entdeckte es jedoch während der Verhandlungen mit dem Sicherheitsunternehmen verdächtiges Verhalten, das 3 Millionen US-Dollar betraf. Nick Percocos Beitrag: Beitrag ansehen
CertiK beanspruchte später auf X die Verantwortung für die Angelegenheit, gab weitere Informationen bekannt und erklärte seine Vorgehensweise. Sie betonten, dass sie mehr als ein paar Tage lang Tests auf Kraken durchgeführt und die Gelder bereits zurückgegeben hätten. Dieser Vorfall löste intensive Diskussionen in der Community aus. CertiKs Beitrag: Beitrag ansehen Informieren Sie sich über die Ursache hier und die Beispieltransaktion hier.
- CoinStats
CoinStats erlitt bei einem Angriff einen Verlust von 2 Millionen US-Dollar. Ihr CEO erklärte, dass die Kompromittierung auf einen Social-Engineering-Angriff auf einen Mitarbeiter zurückzuführen sei, der ihre AWS-Infrastruktur kompromittierte. Klicken Sie hier, um mehr zu erfahren.
Blogartikel
BlockSec hat die Serie "Solana Simplified" kuratiert, die Artikel über grundlegende Solana-Konzepte, Tutorials zum Schreiben von Solana-Smart-Contracts und Anleitungen zur Analyse von Solana-Transaktionen enthält. Das Ziel ist es, den Lesern zu helfen, das Solana-Ökosystem zu verstehen und wesentliche Fähigkeiten für die Entwicklung von Projekten und die Durchführung von Transaktionen auf Solana zu beherrschen.
01: Beherrschen Sie die Kernkonzepte von Solana in einer Lesung
02: Schreiben Sie Ihren ersten Solana Smart Contract von Grund auf neu
03: Verstehen Sie Solana-Transaktionen in 5 Minuten
BlockSec X Solana Summit
Vom 20. bis 22. Juni präsentierte BlockSec stolz auf dem 2024 Solana Summit APAC in KL. Wir freuen uns darauf, Sie auch bei zukünftigen globalen Veranstaltungen zu treffen!
Phalcon Explorer unterstützt jetzt Solana vollständig!
Phalcon Explorer führt neue Funktionen ein, um die Benutzer- und Entwicklererfahrung zu verbessern, darunter:
🚀 Geklärte Kontobeziehungen und Token-Änderungen
🚀 MEV-Transaktions-Tagging und über 300 Millionen Adress-Labels
🚀 Genaue, klare Aufrufhierarchien von Funktionen mit erweiterbaren Ebenen
Erleben Sie Phalcon Explorer hier
Klicken Sie hier, um mehr zu erfahren.
