安全團隊：獲利約900萬美元，Moola協議遭受黑客攻擊事件簡析

10月19日消息，據Beosin EagleEye Web3安全預警與監控平臺監測顯示，Celo上的Moola協議遭受攻擊，黑客獲利約900萬美元。Beosin安全團隊第一時間對事件進行了分析，結果如下：

第一步：攻擊者進行了多筆交易，用CELO買入MOO,攻擊者起始資金（182000枚CELO）.

第二步：攻擊者使用MOO作為抵押品借出CELO。根據抵押借貸的常見邏輯，攻擊者抵押了價值a的MOO，可借出價值b的CELO。

第三步：攻擊者用貸出的CELO購買MOO，從而繼續提高MOO的價格。每次交換之后，Moo對應CELO的價格變高。

第四步：由于抵押借貸合約在借出時會使用交易對中的實時價格進行判斷，導致用戶之前的借貸數量，并未達到價值b，所以用戶可以繼續借出CELO。通過不斷重復這個過程，攻擊者把MOO的價格從0.02 CELO提高到0.73 CELO。

第五步：攻擊者進行了累計4次抵押MOO，10次swap（CELO換MOO），28次借貸，達到獲利過程。

本次遭受攻擊的抵押借貸實現合約并未開源，根據攻擊特征可以猜測攻擊屬于價格操縱攻擊。截止發文時，通過Beosin Trace追蹤發現攻擊者將約93.1%的所得資金 返還給了Moola Market項目方，將50萬CELO 捐給了impact market。自己留下了總計65萬個CELO作為賞金。

其它快訊：

安全團隊：“胖企鵝”出現冒名推特賬戶和釣魚欺詐網站，已有22枚NFT被盜:8月25日消息，據派盾（PeckShield）監測，“胖企鵝”Pudgy Penguins 出現冒名推特賬戶 @pudgypinguins 和釣魚欺詐網站 pudgypengun-lcb[.]com，目前已有 22 枚 NFT 被盜，包括 VeeFriends 和 Pudgy Penguins 系列 NFT。[8/25/2022 8:06:08 PM]

安全團隊：NFT項目AzukiArt Discord服務器遭攻擊:7月14日消息，據CertiK監測，NFT項目AzukiArt的Discord服務器遭受攻擊，請社區用戶不要點擊鏈接、鑄造以及批準任何交易。[7/14/2022 9:49:10 AM]

安全團隊：某質押挖礦項目遭受攻擊，損失約為11萬美元:7月12日消息，據成都鏈安安全社區成員提供的情報顯示，質押挖礦項目（0xa792B90067bd73b048AF12bC2a6E1978FE34BBdb）遭受黑客攻擊。經成都鏈安技術團隊分析，攻擊者利用合約中updateBalance函數的加法溢出漏洞，修改攻擊賬戶的質押量，最終利用超高的質押量領取出了該合約幾乎全部的資產。最終，攻擊者總計獲利約為11萬美元，目前獲利資金一半已進入Tornado.Cash，另一半被轉至0xbfa16fB56B50ac3A69922447BBfC89A59b8B350A地址。成都鏈安“鏈必追”將會對涉案地址進行持續監控。[7/12/2022 9:45:33 AM]