安全團隊：獲利約900萬美元，Moola協議遭受黑客攻擊事件簡析

10月19日消息，據Beosin EagleEye Web3安全預警與監控平臺監測顯示，Celo上的Moola協議遭受攻擊，黑客獲利約900萬美元。Beosin安全團隊第一時間對事件進行了分析，結果如下：

第一步：攻擊者進行了多筆交易，用CELO買入MOO,攻擊者起始資金（182000枚CELO）.

第二步：攻擊者使用MOO作為抵押品借出CELO。根據抵押借貸的常見邏輯，攻擊者抵押了價值a的MOO，可借出價值b的CELO。

第三步：攻擊者用貸出的CELO購買MOO，從而繼續提高MOO的價格。每次交換之后，Moo對應CELO的價格變高。

第四步：由于抵押借貸合約在借出時會使用交易對中的實時價格進行判斷，導致用戶之前的借貸數量，并未達到價值b，所以用戶可以繼續借出CELO。通過不斷重復這個過程，攻擊者把MOO的價格從0.02 CELO提高到0.73 CELO。

第五步：攻擊者進行了累計4次抵押MOO，10次swap（CELO換MOO），28次借貸，達到獲利過程。

本次遭受攻擊的抵押借貸實現合約并未開源，根據攻擊特征可以猜測攻擊屬于價格操縱攻擊。截止發文時，通過Beosin Trace追蹤發現攻擊者將約93.1%的所得資金 返還給了Moola Market項目方，將50萬CELO 捐給了impact market。自己留下了總計65萬個CELO作為賞金。

谷歌向蘋果安全團隊支付15,000美元漏洞賞金:金色財經報道，谷歌證實，蘋果安全工程和架構團隊在Chrome網絡瀏覽器中發現了一個高嚴重性安全漏洞。此外，SEAR團隊還因發現和披露漏洞而獲得了Google 15,000美元的獎金。這一特定披露的消息是在8月2日的Chrome更新公告中發布的，確認了由于外部貢獻者漏洞報告而進行的11個安全修復。CVE-2023-4072是ChromeWebGL實現中的一個“越界讀寫”漏洞。

WebGL是JavaScript應用程序編程接口，可以在瀏覽器中渲染交互式圖形，而無需任何插件。存在越界漏洞，程序可以從分配的內存區域的邊界之外讀取數據（在本例中是寫入數據）。谷歌并沒有透露太多有關此漏洞的信息，而是對技術細節進行了限制，直到大多數Chrome用戶激活了更新。此外，VulnDB指出，成功利用漏洞需要用戶交互。目前也沒有已知的漏洞可用。[2023/8/7 21:30:01]

安全團隊：1Minute Alpha Discord及“1Minute MINT LIVE NOW”推特賬號遭到攻擊:金色財經消息，據CertiK監測，1Minute Alpha項目Discord服務器以及“1Minute MINT LIVE NOW”推特賬號遭到攻擊。請社區用戶在頻道修復之前不要點擊其發布的任何鏈接。[2022/12/14 21:43:43]

安全團隊：Solana生態錢包攻擊事件損失預計達800萬美元:8月3日消息，據派盾監測（PeckShield）顯示，Solana生態錢包大規模黑客攻擊事件可能是由于利用供應鏈問題竊取/發現錢包背后的用戶私鑰。到目前為止，估計損失為800萬美元。[2022/8/3 2:55:47]