原文作者：九九，慢雾安全团队
2022年6月27日，据慢雾区消息，XCarnival项目被曝出严重漏洞遭黑客攻击并盗走3,087个ETH。XCarnival是一个ETH链上的NFT借贷项目，目前项目团队正在修复漏洞并承诺会对受影响的用户提供解决方案。慢雾安全团队第一时间介入分析，并将结果分享如下：
相关信息
核心合约地址
P2Controller：
0x34ca24ddcdaf00105a3bf10ba5aae67953178b85
XNFT：
0x39360AC1239a0b98Cb8076d4135d0F72B7fd9909
xToken：
0x5417da20aC8157Dd5c07230Cfc2b226fDCFc5663
慢雾：正协助Poly Network追查攻击者，黑客已实现439万美元主流资产变现:7月2日消息，慢雾首席信息安全官23pds在社交媒体发文表示，慢雾团队正在与Poly Network官方一起努力追查攻击者，并已找到一些线索。黑客目前已实现价值439万美元的主流资产变现。[2023/7/2 22:13:24]
攻击者EOA地址
0xb7cbb4d43f1e08327a90b32a8417688c9d0b800a
攻击合约地址
0xf70F691D30ce23786cfb3a1522CFD76D159AcA8d
0x234e4B5FeC50646D1D4868331F29368fa9286238
0x7B5A2F7cd1cc4eEf1a75d473e1210509C55265d8
慢雾：AToken钱包疑似遭受攻击 用户反馈钱包中资产被盗:据慢雾区情报，近期 AToken 钱包(atoken.com)疑似遭受到攻击，用户在使用 AToken 钱包后，币被偷偷转移走。目前已经有较多的用户反馈钱包中的资产被盗。AToken 钱包官方推特在2021年12月20日发布了停止运营的声明。官方 TG 频道中也有多位用户反馈使用 AToken 钱包资产被盗了，但是并没有得到 AToken 团队的回复和处理。
如果有使用 AToken 钱包的用户请及时转移资产到安全的钱包中。具体可以参考如下操作：
1. 立即将 AToken 钱包中的相关的资产转移到新的钱包中。
2. 废弃导入 AToken 或者使用 AToken 生成的助记词或私钥的钱包。
3. 参考慢雾安全团队梳理的数字资产安全解决方案，对数字资产进行妥善的管理。
4. 留存相应有问题的 AToken 钱包 APP 的安装包，用于后续可能需要的取证等操作。
5. 如果资产已经被盗，可以先梳理被盗事件的时间线，以及黑客的相关地址 MistTrack 可以协助挽回可能的一线希望。[2022/2/9 9:39:46]
0xc45876C90530cF0EE936c93FDc8991534F8A6962
动态 | 慢雾：10 月发生多起针对交易所的提币地址劫持替换攻击:据慢雾区块链威胁情报(BTI)系统监测及慢雾 AML 数据显示，过去的 10 月里发生了多起针对数字货币交易所的提币地址劫持替换攻击，手法包括但不限于：第三方 JS 恶意代码植入、第三方 NPM 模块污染、Docker 容器污染。慢雾安全团队建议数字货币交易所加强风控措施，例如：1. 密切注意第三方 JS 链接风险；2. 提币地址应为白名单地址，添加时设置双因素校验，用户提币时从白名单地址中选择，后台严格做好校验。此外，也要多加注意内部后台的权限控制，防止内部作案。[2019/11/1]
漏洞核心点分析
1.攻击者通过XNFT合约中的pledgeAndBorrow函数来进行抵押NFT并借出xToken。
声音 | 慢雾：使用中心化数字货币交易所及钱包的用户注意撞库攻击:据慢雾消息，近日，注意到撞库攻击导致用户数字货币被盗的情况，具体原因在于用户重复使用了已泄露的密码或密码通过撞库攻击的“密码生成基本算法”可以被轻易猜测，同时用户在这些中心化服务里并未开启双因素认证。分析认为，被盗用户之所以没开启双因素认证是以为设置了独立的资金密码就很安全，但实际上依赖密码的认证体系本身就不是个足够靠谱的安全体系，且各大中心化数字货币交易所及钱包在用户账号风控体系的策略不一定都一致，这种不一致可能导致用户由于“惯性思维”而出现安全问题。[2019/3/10]
在pledgeInternal函数中转入NFT并生成订单：
2.接着调用withdrawNFT函数提取出质押的NFT，其中首先判断该订单是否被清算状态，如果不是则判断该订单的状态是否为NFT还未被提取且借款金额为0，如果通过即可提取抵押的NFT。
3.以上为攻击前生成订单的准备操作，接着攻击者开始利用生成的订单直接调用xToken合约中的borrow函数进行借款。
在borrowInternal函数中，会外部调用controller合约中的borrowAllowed函数来判断是否可以借款。
可以看到在borrowAllowed函数会调用orderAllowed函数进行订单相关信息的判断，但是在这两个函数中均没有进行_order.isWithdraw状态的判断。因此攻击者可以利用之前生成的订单来调用XToken的borrow函数来借款，而因为抵押的NFT在之前已经被提出，故攻击者可以不用还款来实现获利。
攻击交易分析
此处仅展示其中一笔攻击交易的细节，其余攻击交易的手法均一致，不再赘述。
攻击前准备——生成订单的交易：
0x61a6a8936afab47a3f2750e1ea40ac63430a01dd4f53a933e1c25e737dd32b2f
1.首先攻击者将NFT转入攻击合约并进行授权，接着调用xNFT合约中的pledgeAndBorrow函数在进行抵押NFT生成订单并借款的操作，此处需要注意一点是该函数可以控制传入的xToken，攻击者传入了自己构造的xToken合约地址，并且让借款数量为0，目的是为了满足后续能成功提出NFT时的不被清算且负债为0的条件。
2.攻击者紧接着调用withdrawNFT函数来进行提取抵押的NFT：
正式攻击交易：
0x51cbfd46f21afb44da4fa971f220bd28a14530e1d5da5009cfbdfee012e57e35
攻击者调用xToken合约的borrow函数，传入之前生成的订单的orderID，重复了该操作22次，而因为NFT在准备阶段已经提走，估计无需还款以此来获利。
总结
本次漏洞的核心在于借款的时候，没有进行订单中NFT是否被提走的状态的判断，导致攻击者可以在把NFT提走之后再利用之前生成的订单来借款而无需还款，以此来获利。针对此类漏洞，慢雾安全团队建议在进行借款操作时应做好订单状态中是否已经提走抵押品的判断，避免再次出现此类问题。
6月21日以太坊基金会发布弃用Ropsten、Rinkeby和Kiln等测试网络的公告。公告指出,用户和开发人员有时间在完全关闭之前完成迁移.
出海一直是游戏的趋势。国内游戏版号的发放肯定是在逐步收缩的,而GameFi提供了一个很好的出海新方向。游戏大厂正在加入链游的行列.
PANews6月29日消息,Terra研究员FatMan发推文称,加密借贷公司Hodlnaut内部人员向其发布了一些信息.
数字藏品火了。2021年初,数字艺术家Beeple将自己之前创作的数千幅画作组成了一幅数字艺术作品《每一天：最初的5000天》,最终该作品以6934万美元的价格拍出,这是拍卖机构佳士得首件以NF.
加密项目经常使用空投向社区成员分发免费代币,但它们的效果如何？空投有助于将项目的代币供应分散给公众,并且可能是更广泛的营销计划的一部分,以提高对其核心产品或新产品的知名度.
如果足够多有耐心的风险资本分配给加密行业,我们将安全进入另一个牛市。上周,从Coinbase首席执行官BrianAmrstrong到CoinDesk记者,加密行业的多个部门都报告说我们正处于「加.
链资讯