Beosin：Bedrock项目被盗170万美元事件分析

金色财经报道，据Beosin Alert监测显示，Indodax交易所遭到黑客攻击，黑客获利约1700万美元的加密资产，Beosin对本次事件简析如下： 攻击手法：攻击者通过未知手段获取了Indodax交易所热钱包的访问权限，并利用该权限在以太坊、Polygon、和Optimism链上转移大量资产至多个地址，其中大部分资产在以太坊链上兑换为ETH。 受影响的区块链：以太坊、Polygon、Optimism 攻击者地址：0xB0A2e43D3E0dc4C71346A71484aC6a2627bbCbeD 资金沉淀地址： 地址1：0x59101e532bc728599a2d373fcdc7aff58cb48df8（12,200,384.56 美元） 地址2：0x90FffbC09e9A5f6D035E92d25d67E244Ef5e904f（2,610,095.81美元） 地址3：0x3B8F1131a20e131c195bdA6FDd6e9bE38935eB6d（895,212.20美元） 地址4：0xb0a2e43d3e0dc4c71346a71484ac6a2627bbcbed（1,233,066.60 美元）

据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年6月28日DeFi借贷协议Themis Protocol遭到攻击，攻击者获利约37万美元，Beosin Trace追踪发现已有130,471个USDC、58,824个USDT和94个ETH被盗，目前，被盗资金被转移到以太坊的0xDb73eb484e7DEa3785520d750EabEF50a9b9Ab33地址。其攻击的原因在于预言机实现存在问题，导致预言机被操纵。 攻击交易为：0xff368294ccb3cd6e7e263526b5c820b22dea2b2fd8617119ba5c3ab8417403d8。攻击的核心是攻击者在借款前，用大量WETH兑换wstETH，使得预言机获取价格时被操纵，导致攻击者仅用55WETH借出317WETH。 如图，在getAssetPrice函数调用Balancer: Vault.getPoolTokens函数时，wstETH与ETH数量从正常的2,423 : 2,796被操纵为0.238 : 42,520.从而操纵了预言机。

金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年4月5日， DeFi借贷协议sentiment协议遭到攻击，损失约1百万美元，Beosin Trace追踪发现已有0.5WBTC、30个WETH、538,399USDC和360,000USDT被盗，目前，大部分被盗资金还在攻击者地址。其攻击的原因在于重入导致的价格错误。 攻击交易:https://arbiscan.io/tx/0xa9ff2b587e2741575daf893864710a5cbb44bb64ccdc487a100fa20741e0f74d Beosin安全团队现将分析结果分享如下： 1.攻击者首先调用Balancer Vault的“joinPool”函数进行质押。 2.然后再调用“exitPool”取回质押，在这个过程中，Balancer Vault会向攻击者发送eth从而调用攻击合约的fallback函数。在该函数中，攻击者调用0x62c5合约的borrow函数，该过程需要根据Balancer Vault.getPoolTokens()的返回数据进行价格计算。而当前正在攻击者的"exitPool"过程中，pool中总供应量已经减少而数据还没有更新，攻击者利用这个数据错误从而多借出资产达成获利。 攻击者收到消息，如果在4月6日8点（UTC）前归还资产，会获得95000美元奖励，并不会被追究。

据Beosin Alert监测显示，建立在 Pendle 上的 DeFi 协议 Penpie 遭到黑客攻击，被盗取约 2700 万美元的加密资产，Beosin对本次事件简析如下： 攻击者利用market合约中claimRewards函数重入质押以提高staking合约余额，再将taking合约多余的代币和质押资产提取以获利 1、攻击者首先创建攻击合约，并通过官方的factory构建的对应的market合约 2、调用staking合约的batchHarvestMarketRewards函数对该market进行奖励更新 3、更新奖励时会回调攻击合约claimRewards函数，由此函数进行重入将闪电贷获取的资产进行质押，使得staking合约的资产形成数量差，并将多余的提取出来 4、攻击者将质押的资产提取，并归还闪电贷进行获利

金色财经报道，据Beosin Alert监控预警发现，跨链协议LI.FI遭受攻击，主要是攻击者利用项目合约的call注入将授权给合约的用户资产转移走，Beosin Trace对被盗资金进行追踪发现，损失金额包括633.59万USDT、319.19万USDC、16.95万DAI，约1000万美元。攻击发生在ETH以及Arbitrum这两条链上，目前大部分资金转为ETH暂无新的动向，Beosin 已将黑客相关地址加入KYT黑地址库，后续将持续保持追踪关注。

金色财经报道，据Beosin EagleEye 安全预警与监控平台检测显示，UVT项目被黑客攻击，涉及金额为150万美元。攻击交易为0x54121ed538f27ffee2dbb232f9d9be33e39fdaf34adf993e5e019c00f6afd499 经Beosin安全团队分析，发现攻击者首先利用开发者部署的另一个合约的具有Controller权限的0xc81daf6e方法，该方法会调用被攻击合约的0x7e39d2f8方法，因为合约具有Controller权限，所以通过验证直接转走了被攻击合约的所有UVT代币，Beosin安全团队通过Beosin Trace进行追踪，发现被盗资金已全部转入Tornado Cash。