安全公司：Punk Protocol被黑因其CompoundModel的Initialize函數未做重復初始化檢查

據慢霧區消息，去中心化年金協議 Punk Protocol 在公平啟動的過程中遭遇攻擊，慢霧安全團隊以簡訊形式將攻擊原理分享如下：

1.攻擊者調用CompoundModel合約的Initialize函數進行重復初始化操作，將合約Forge角色設置為攻擊者指定的地址。

2.隨后攻擊者為了最大程度的將合約中資金取出，其調用了invest函數將合約中的資金抵押至Compound中，以取得抵押憑證cToken。

3.最后攻擊者直接調用withdrawToForge函數將合約中的cToken轉回Compound獲取到對應的底層資產并最終將其轉給Forge角色。

4.withdrawToForge函數被限制只有Forge角色可以調用，但Forge角色已被重復初始化為攻擊者指定的地址，因此最終合約管理的資產都被轉移至攻擊者指定的地址。總結：本次攻擊的根本原因在于其CompoundModel的Initialize函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換Forge角色，最終造成合約管理的資產被盜。

總結：本次攻擊的根本原因在于其 CompoundModel 的 Initialize 函數未做重復初始化檢查，導致攻擊者直接調用此函數進行重復初始化替換 Forge 角色，最終造成合約管理的資產被盜。

安全公司：illogicsNFT Discord兩名團隊成員的Discord賬戶被盜:4月21日消息，BlockSec告警系統于4月21日下午4點20分發現@illogics discord 被黑客入侵,原因是兩名團隊成員的 Discord 帳戶被盜,攻擊者冒充管理員發布虛假mint鏈接，BlockSec建議檢測授權情況并及時刪除授權。[2022/4/21 14:39:10]

動態 | 區塊鏈安全公司CipherTrace將在美國上市:金色財經報道，區塊鏈分析公司CipherTrace近期計劃在美國上市。CipherTrace首席財務分析師John Jefferies表示，該公司計劃在2020年后籌集“至多數億美元”，其競爭對手chain和Elliptic目前還沒有IPO計劃。[2019/11/12]

聲音 | 安全公司：錢包助記詞遭破解 手機root權限成關鍵因素:針對近日有數字錢包被破解助記詞一事，北京鏈安安全專家c00lman分析，視頻中的攻擊者采用了一臺越獄手機，利用root權限，打開了存在該錢包私有目錄下的配置文件preferences.xml，讀取加密后的助記符字段seedPhraseEntropy。而后攻擊者通過逆向手段，還原了加密算法，對加密后的助記符數據進行解密，還原了助記符。

但是這段攻擊視頻有個前提，攻擊者需要獲取root權限，這在大部分攻擊場景下是不具備的。事實上，該錢包已經對助記符進行了加密存儲，只是攻擊者逆向出了加密算法。對于這類問題，更關鍵的是相關應用廠商采用安全公司專業的root安全性檢查方案，在用戶手機系統被破解時及時提醒用戶。

對此，北京鏈安建議：相關錢包應用加強對手機環境進行root權限檢查，而各位用戶也應該避免在越獄手機上使用錢包、交易所App。[2018/11/22]