【基于Uniswap Permit2的恶意签名已导致69万美金资产被盗】

【基于UniswapPermit2的恶意签名已导致69万美金资产被盗】2023年05月09日05点36分老不正经报道，最近ScamSniffer连续收到多个被盗的案例，他们都是签署了一种新型的基于Permit2的恶意签名从而导致资产被盗。链上数据发现一共有大概300多名受害者被这类基于Permit2的恶意签名盗取了69万美金的资产。而从Uniswap推出Permit2到现在为止，以太坊主网上已经有669k个地址授权过Permit2。

【安全团队：谨防多重签名假充值】

【安全团队：谨防多重签名假充值】据慢雾区情报，近期有黑客团伙利用m-of-n多重签名机制对交易所进行假充值攻击。慢雾安全团队分析发现，攻击者通常使用2-of-3多签地址，其中1个地址为攻击者在交易所的充值地址（假设为A），2个地址为攻击者控制私钥的地址（假设为B、C），然后发起一笔以这3个地址构成的多签做为交易输出(vout)的交易，此时攻击者在交易所的充值地址A虽然收到资金，但是由于花费这笔资金至少需要2个地址的签名，攻击者可利用自己控制的B、C地址将充值资金转出。慢雾安全团队建议交易所，及时对BTC/LTC/DOGE等基于UTXO账号模型的代币充值流程进行审查，确保已对交易类型进行正确的判别，谨防多重签名假充值。

【安全团队：沈波资产被盗原因极大可能是私钥泄露】

【安全团队：沈波资产被盗原因极大可能是私钥泄露】据OKLink安全团队透露，沈波个人钱包资产被盗的情况是其被盗地址直接发起转账交易，将ETH，USDC等资产transfer给其它地址，而不是transferFrom，所以其被盗原因不是常规的授权钓鱼，很可能是私钥泄露。另外，盗窃地址已经将3800万USDC置换为DAI，无法再通过中心化实体进行冻结。此前报道，沈波价值4200万美元的个人资产钱包被盗。

【Velocore：正与安全团队和基金会合作，并已要求 CEX 冻结被盗资产】

【Velocore：正与安全团队和基金会合作，并已要求CEX冻结被盗资产】2024年06月02日11点23分6月2日消息，DEX协议Velocore确认协议已被攻击，导致大部分流动性损失。协议的CPMM池已受到影响，但稳定池未受到影响，因此资金可以在我们的稳定池中提取。此外团队正在与安全团队和基金会合作，并已要求CEX冻结被盗资产。此前消息，Velocore在zkSync和Linea链上遭攻击，损失约1000万（美元）。

【安全团队：黑客团伙利用恶意的 npm 包盗取助记词和数字资产】

【安全团队：黑客团伙利用恶意的npm包盗取助记词和数字资产】5月3日消息，据慢雾区情报反馈，近期有黑客团伙利用恶意的npm包进行投毒盗取助记词和数字资产。受害者使用了opensea-wallet-providernpm包在使用助记词的时候，恶意的包会将助记词发送到攻击者的服务器上，从而窃取受害者的助记词。由于在npmjs.com上传npm包不需要进行审核，并且包的基础信息可以任意填写，因此攻击者可以构造恶意的npm包，并伪造npm包的基础信息混淆视听，骗开发人员安装恶意的包。建议排查代码中是否有使用到该恶意的opensea-wallet-providernpm包。如果有使用到注意及时转移资产并更换钱包助记词。在日常安装使用npm包的时候要注意审查包的可靠性和真实性，可以通过查看包的下载量进行辅助分析，还可以通过包的下载链接进行识别，一般开源的包会放在官方团队维护的GitHub仓库中。