慢霧安全提醒：Rabby錢包項目Swap合約存在外部調用風險，請迅速取消授權_LOCK

金色財經報道，據慢霧安全團隊情報,2022年10月11號,ETH鏈上的Rabby錢包項目的Swap合約被攻擊,其合約中代幣兌換函數直接通過OpenZeppelinAddresslibrary中的functionCallWithValue函數進行外部調用，而調用的目標合約以及調用數據都可由用戶傳入，但合約中并未對用戶傳入的參數進行檢查，導致了任意外部調用問題。攻擊者利用此問題竊取對此合約授權過的用戶的資金。慢霧安全團隊提醒使用過該合約的用戶請迅速取消對該合約的授權并提取資金以規避風險。截止目前，RabbySwap事件黑客已經獲利超19萬美元，資金暫時未進一步轉移。黑客地址的手續費來源是TornadoCash10BNB，使用工具有Multichain、ParaSwap、PancakeSwap、UniswapV3、TraderJoe。慢霧MistTrack將持續監控黑客地址并分析相關痕跡。

聲音 | 慢霧安全團隊：建議檢查充值所在的區塊來避免回滾交易攻擊:據 IMEOS 報道，針對凌晨出現的 BetDice 等大量頭部 DApp 遭受回滾交易攻擊的情況，慢霧安全團隊建議 EOS 交易所及中心化錢包在通過 RPC 接口 get_actions 處理熱錢包充值記錄時，應檢查充值 transaction 所在的 block_num 是否小于 last_irreversible_block(最新不可逆區塊)，如果 block_num 大于 last_irreversible_block 則表示該區塊仍然是可逆的，存在“假充值”風險。[2018/12/19]

聲音 | 慢霧安全團隊針對USDT充值漏洞做出回應:據火訊財經報道，慢霧安全團隊針對USDT充值漏洞做出了回應，他們表示：“關于 USDT ‘虛假充值’的事件，目前許多交易所也都發了公告聲明說不存在該問題了，存在該問題的交易所也都獲取了情報在第一時間修復了，目前應該已經不存在此問題了。我們一般不披露那些還沒出現攻擊事件的情報。比如單純漏洞這玩意，擠擠總會有的，多重磅都可以搞個出來，沒什么好說，但只要是事件，就代表已經發生，披露我們盡最大努力走負責任路線。我們在給甲方做安全時，會全面帶入我們的情報網絡，這種價值，似乎還不好量化，但懂的人，會很感激我們。”[2018/7/3]

金色獨家 慢霧安全團隊：有至少6種途徑導致 EOS 私鑰被盜:針對 EOS 私鑰被盜事件，金色財經特邀請慢霧安全團隊對此事進行解讀，慢霧安全團隊表示：EOS 投票關鍵期頻發私鑰被盜問題，慢霧安全團隊綜合 Joinsec Red Team 攻防經驗及地下黑客威脅情報分析，可能的被盜途徑有：

1、使用了不安全的映射工具，映射使用的公私鑰是工具開發者(攻擊者)控制的，當 EOS 主網上線后，攻擊者隨即 updateauth 更新公私鑰；

2、映射工具在網絡傳輸時沒有使用 SSL 加密，攻擊者通過中間人的方式替換了映射使用的公私鑰；

3、使用了不安全的 EOS 超級節點投票工具，工具開發者(攻擊者)竊取了 EOS 私鑰；

4、在不安全的 EOS “主網”、錢包上導入了私鑰，攻擊者竊取了 EOS 私鑰；

5、用戶存儲私鑰的媒介不安全，例如郵箱、備忘錄等，可能存在弱口令被攻擊者登錄竊取到私鑰；

6、在手機、電腦上復制私鑰時，被惡意軟件竊取。

同時，慢霧安全團隊提醒用戶自查資產，可使用公鑰(EOS開頭的字符串)在 https://eosflare.io/ 查詢關聯的賬號是否無誤，余額是否準確。如果發現異常并確認是被盜了，可參考 EOS 佳能社區 Bean 整理的文檔進行操作 https://bihu.com/article/654254[2018/6/14]

Tags：EOSSWAPLOCKBLOPIXEOSGoSwappBlockmaxblockchain錢包登錄不了

FTT