Curve Finance向披露潜在重入漏洞的安全人员发放25万美元赏金

1月3日消息，安全公司 Dedaub 团队宣布获得 Uniswap Labs 的 4 万枚 USDC 安全漏洞赏金，因为其披露 Uniswap 的一个严重漏洞，该漏洞有重入并耗尽用户的资金的可能性。不过，Uniswap 团队已解决该漏洞并在所有链上重新部署了 Universal Router 智能合约，资金是安全的。 Uniswap 在 2022 年 11 月份发布通用路由器Universal Router智能合约，可将 ERC20 和 NFT 兑换统一到一个交换路由器中，用户可以执行异构操作，例如，在一笔交易中交换多个 Token 和 NFT。 Dedaub 表示，该路由器为各种 Token 操作嵌入了脚本语言，此类命令可能包括向第三方（可能不受信任的）接收人的传输。如果在传输过程中的任何时候调用第三方代码，该代码可以重新进入 UniversalRouter 并在合约中临时认领任何 Token。Dedaub 建议 Uniswap 为新路由器的核心执行添加一个重入锁，并重新部署。

据官方消息，今年早些时候，OneKey在收到网络安全初创公司Unciphered的披露后，迅速修复了一个潜在漏洞，没有任何用户受到到任何损失。这个潜在漏洞需要本地物理拆解、修改电路，并使用专业FPGA设备方可尝试，无法远程实施。OneKey安全团队表示，虽然事小，依然会严肃对待，不放过任何潜在风险。 据悉，OneKey每年会定期发布若干安全固件，持续加固硬件钱包，并保持开源透明，与行业顶尖白帽工程师合作，为用户提供最高水准的安全软硬件服务。

金色财经报道，上个月Fantom基金会的一个加密钱包遭到黑客攻击后，该基金会向一名安全研究人员支付了170万美元的赏金。这位未在公告中透露姓名的研究人员提醒基金会，被黑的钱包持有Fantom的FTM代币合约的休眠管理代币。如果黑客发现钱包中包含管理代币，他们就可以直接在以太坊上铸造100万个 FTM 代币，由于FTM遭到黑客攻击时的交易价格为0.17美元，Fantom 基金会评估潜在损失为1.7亿美元。

金色财经报道，Curve Finance发推称，CRV/ETH漏洞攻击者自愿归还资金的截止日期已过，将提供赏金对任何提供导致黑客被捕和定罪信息的人的报酬（目前为185万美元）。 此前消息，FinanceCurve、Metronome和Alchemix向黑客提供了10%的赏金，以换取黑客返还剩余的代币，三人给出的截止日期是世界标准时间8月6日08:00；Alchemix发推称，黑客已全部归还Alchemix在Curve池中被盗的资金，不久将公布完整报告。

金色财经报道，全栈L2网络Parallel Finance宣布推出最高5万美元的漏洞赏金计划，该漏洞赏金计划专注于智能合约、网站和应用程序，将以USDC支付奖励。

11月11日消息，据慢雾安全团队情报，2022 年 11 月 11 日，ETH 链上的 DFX Finance 项目遭到攻击，攻击者获利约 231,138 美元。慢雾安全团队以简讯形式分享如下： 1. 攻击者首先调用了名为 Curve 的合约中的 viewDeposit 函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱 2. 紧接着继续 Curve 合约的 flash 函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的 flashCallback 函数回调了合约的 deposit 函数进行存款 3. 存款函数外部调用了 ProportionalLiquidity 合约的 proportionalDeposit 函数，在该函数中会将第二步中借来的资金转移回 Curve 合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证 4. 由于利用重入了存款函数来将资金转移回 Curve 合约中，使得成功通过了闪电贷还款的余额检查 5. 最后调用 withdraw 函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约 2,283,092,402 枚的 XIDR 代币和 99,866 枚 USDC 代币获利 此次攻击的主要原因在于 Curve 合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。