安全團隊：BSC上的ORT)項?遭受攻擊

1月17日消息，據Fairyproof監測，BSC上的 OMNI Real Estate Token (ORT) 項?遭受攻擊，攻擊原因疑似為合約代碼有漏洞。

攻擊者地址為：0x9BbD94506398a1459F0Cd3B2638512627390255e，其中?個攻擊合約為

0x0eFfECA3dBCBcda4d5e4515829b0d42181700606，攻擊初始gas來源 FixedFloat熱錢包，攻擊者獲利超過236個BNB，價值約70705美元。

漏洞合約為項?的 StakingPool合約，在 _Check_reward 函數中，當 durations 為0時，條件判斷沒有覆蓋，會返回?個上次的全局變量值（預期外的值），造成獎勵計算錯誤。

攻擊者調?invest函數時， end_date 輸?為0，此時合約未驗證?戶輸?，因此合約可以繼續運?， duration[msg.sender] = 0 ,?在 _Check_reward 函數中也未驗證 durations 的值，并且在 _Check_reward 函數中使?了全局變量來參與計算，多重因素造成了?錯誤的獎勵值。

其它快訊：

安全團隊：dydx的SDK用了一個惡意的第三方組件，可能導致用戶憑據泄露:9月24日消息，據Beosin EagleEye平臺輿情監測顯示，Maciej Mensfeld發現的服務器異常文件http://api.circle-cdn.com/setup.py，通過對比代碼，發現與樣某樣本庫中的一份惡意代碼樣本一致 https://dwz.win/azUF

Beosin安全團隊深入分析發現攻擊者通過在本機執行以下代碼獲取系統敏感信息：接著利用socket庫函數gethostname提取dns解析，同時獲取當前用戶基本信息并進行數據封裝。然后將組裝好的信息利用curl命令以文件格式發到api.circle-cdn.com的服務器上，以隨機數字命名的txt格式，執行上傳之后并做了清理工作，沒有留下生成的臨時文件。

Beosin安全團隊總結：此腳本目的是獲取用戶計算機上的敏感配置文件，有些配置文件可能會導致重要的賬戶憑證信息失竊，會帶來較大的風險。[9/25/2022 10:55:42 AM]

安全團隊：超5000個Solana錢包資金被盜，漏洞或影響ETH用戶:8月3日消息，區塊鏈審計安全團隊OtterSec在社交媒體上發文表示，過去幾個小時內有超過5000個Solana錢包資金被盜取，OtterSec分析顯示，這些交易是由實際所有者簽署，表明存在私鑰泄露。該漏洞還可能影響ETH用戶。[8/3/2022 10:10:10 AM]

安全團隊：“x2y2.it”是釣魚網站，已約有60名受害者:7月27日消息，據慢霧監測，“x2y2.it”是釣魚網站，請用戶不要點擊與其交互。目前大約有60名受害者，共損失約44枚NFT、11枚ETH、520枚USDC和390枚USDT。[7/27/2022 10:03:55 AM]