AIR:慢雾安全预警：Solana上出现多起授权钓鱼事件，请勿掉以轻心_API

据慢雾区消息，Solana上出现多起授权钓鱼事件。攻击者批量给用户空投NFT(图1)，用户通过空投NFT描述内容里的链接(www_officialsolanarares_net)进入目标网站，连接钱包(图2)，点击页面上的“Mint”，出现批准提示框(图3)。注意，此时的批准提示框并没有什么特别提示，当批准后，该钱包里的所有SOL都会被转走。当点击“批准”时，用户会和攻击者部署的恶意合约交互：3VtjHnDuDD1QreJiYNziDsdkeALMT6b2F9j3AXdL4q8v

慢雾安全：黑客通过绕过未被验证的账号，非法增发20亿个CASH:据慢雾区情报消息，Solana上的稳定币项目Cashio遭遇黑客攻击。据慢雾安全团队初步分析，黑客通过绕过一个未被验证的账号，非法增发了20亿个CASH代币，并通过多个应用将CASH代币转化为 8,646,022.04 UST 17,041,006.5 USDC 和26,340,965.68 USDT-USDC LP，获利总价值：52027994.22 USD（5000多万美金）。目前官方@CashioApp已发出公告让用户暂停使用合约，并发布临时补丁修复了漏洞。[2022/3/23 14:14:07]

该恶意合约的功能最终就是发起“SOLTransfer”，将用户的SOL几乎全部转走。从链上信息来看，该钓鱼行为已经持续了几天，中招者在不断增加。

声音 | 慢雾安全团队：建议检查充值所在的区块来避免回滚交易攻击:据 IMEOS 报道，针对凌晨出现的 BetDice 等大量头部 DApp 遭受回滚交易攻击的情况，慢雾安全团队建议 EOS 交易所及中心化钱包在通过 RPC 接口 get_actions 处理热钱包充值记录时，应检查充值 transaction 所在的 block_num 是否小于 last_irreversible_block(最新不可逆区块)，如果 block_num 大于 last_irreversible_block 则表示该区块仍然是可逆的，存在“假充值”风险。[2018/12/19]

提醒：1.恶意合约在用户批准(Approve)后，可以转走用户的原生资产(这里是SOL)，这点在以太坊上是不可能的，以太坊的授权钓鱼钓不走以太坊的原生资产(ETH)，但可以钓走其上的Token。于是这里就存在“常识违背”现象，导致用户容易掉以轻心。

动态 | 慢雾安全团队推出 EOS 合约验证平台:据IMEOS报道，慢雾安全团队推出 EOS 合约验证平台，希望借此为区块链世界构建一个更加安全的生态环境。该功能包括：

1.用户可对已验证 EOS 合约账户的源代码进行查询；

2.项目方可自行上传源代码进行一致性校验。[2018/8/14]

2.Solana最知名的钱包Phantom在“所见即所签”安全机制上存在缺陷(其他钱包没测试)，没有给用户完备的风险提醒。这非常容易造成安全盲区，导致用户丢币。

标签：AIRAPIHAICHAAIRTNTSafeCapitalIZIChainblockchainapp

Coinw热门资讯