【安全团队：DFX Finance存在严重漏洞遭攻击，攻击者获利逾23万美元】

【安全团队：DFXFinance存在严重漏洞遭攻击，攻击者获利逾23万美元】2022年11月11日03点15分11月11日消息，据慢雾安全团队情报，ETH链上的DFXFinance项目遭到攻击，攻击者获利约231,138美元。慢雾安全团队以简讯形式分享如下：1.攻击者首先调用了名为Curve的合约中的viewDeposit函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱。2.紧接着继续Curve合约的flash函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的flashCallback函数回调了合约的deposit函数进行存款。3.存款函数外部调用了ProportionalLiquidity合约的proportionalDeposit函数，在该函数中会将第二步中借来的资金转移回Curve合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证。4.由于利用重入了存款函数来将资金转移回Curve合约中，使得成功通过了闪电贷还款的余额检查。5.最后调用withdraw函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约2,283,092,402枚XIDR代币和99,866枚USDC代币获利。此次攻击的主要原因在于Curve合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。

【慢雾安全：Quiuixotic 出现严重漏洞，请相关用户尽快取消授权】

【慢雾安全：Quiuixotic出现严重漏洞，请相关用户尽快取消授权】据慢雾安全团队情报，2022年7月1日，Optimism生态最大NFT平台Quiuixotic出现严重漏洞，大量用户资产被盗，请在该市场上进行过交易的用户尽快取消授权。在市场合约的fillSellOrder函数中仅对卖单进行了检查，并未对buyer的买单做检查。故攻击者首先创建了任意的NFT合约，调用fillSellOrder函数生成卖单，将buyer参数传为受害者地址、paymentERC20参数传为需要盗取的代币地址，即可将对该市场合约有授权的用户的代币转走获利。

【安全团队：未经验证的合约（0xac15ab开头）存在漏洞，攻击者获利近16万美元】

【安全团队：未经验证的合约（0xac15ab开头）存在漏洞，攻击者获利近16万美元】2023年08月13日12点33分8月13日消息，据BeosinAlert监测，未经验证的合约（0xac15ab开头）存在漏洞，并导致多个地址的损失。手续费来源于FixedFloat的攻击者地址（0xb9c77d开头）已经获利约97000美元。目前所有的资金都存放在0x202bad开头地址。另一个攻击者地址（0x7d9bc4开头）获利约6万美元，并将所有被盗资金转移到Railgun:Relay。