BXH被黑三天,原本无比气愤加上慌乱,脑海里面有太多的思路想法。现如今,冷静下来,好好思考,写点东西,希望各位同是受害者的朋友提供一些信息和思路,共同面对,惩治作恶者,尽快还大家一个太平。
时间:2021/10/30早上8:38AM
我起床后本能的打开BXHDAPP,尝试提取已存的WBNB单币,可以解除质押但无法提币,提币的时候显示的GAS为0。我第一直觉是否BSC网络问题,尝试更换网络节点,无果。继续提币,尝试手动提高GAS费率100倍,提示提币失败。经验告诉我,这不是网络问题,多半是该池资产不足引起,常见于借贷平台可提数量不够的情况,但BXH不是借贷是机池。于是我第一时间去官方电报群反应情况,得到的回复如下:
根据后面的派盾公告,这个时间“黑客“”并未开始攻击,黑客首次攻击的时间是10/30号的早上11点左右,但偏偏提前2个多小时官方就开始发生无法提币。
BXH再次遭受闪电贷攻击,攻击者获利31794 USDT:9月29日消息,据Supremacy安全团队监测,2022年9月28日,BXH在上次攻击后更新的TokenStakingPoolDelegate合约再次遭受闪电贷攻击,合约损失40085 USDT,攻击者还完闪电贷手续费后获利31794 USDT。
经过分析,本次攻击是由合约的getITokenBonusAmount函数中使用getReserves()获取瞬时报价造成,使得攻击者可以通过操纵报价完成获利。[2022/9/29 22:39:58]
随之而来的就是官方群里开始有越来越多的用户上来反应,一开始没有人觉得是黑客攻击,资产被盗。显然,官方也没觉得是,这里我就不判断是真不知道还是剧本。
BXH将于9月27日开始首批5% VToken回购:9月26日消息,BXH中文社区发布关于BXH VToken首次回购方案的公告。对于近期发生的安全事故,团队将会全力筹集资金开展资产回购,直至补齐所有用户资产损失。首批5% VToken回购将在9月27日开始。为保证回购金额准确与回购能在27日按时开始,BXH将采取双重验证的方式对资产进行确认。
用户需通过邮件提交参与质押的钱包地址与对应公链、目前持有的VToken种类与数量等信息。BXH会将其填写的信息与后台信息进行校验。[2022/9/26 7:21:08]
一开始传被盗4000个ETH,后面真相是整个BXHBSC链上的单笔池剩下的除去MDX几乎全部转走,这些币可以认为是提币保证金。
后面有技术的受害者在官方群里发了大体的被黑原因,私钥被盗!这个听起来天方夜谭,可币就是利用了管理员私钥权限,授权给另外一个账号管理员,由这个账号通过升级合约代码的形式,直接把原来的提款方法WITHDRAW更换成新的WITHDRAW1,一键全部提走单币池的币。
安全团队:BXH被盗资金出现异动,超1700万美元资金被跨链转移到BTC网络:9月4日凌晨(UTC+8),慢雾监控到 BXH 被盗资金出现异动,经慢雾 MistTrack 分析,异动详情如下:
1/BSC 链,黑客地址 0x48c9...7d79 Approve Cake Token 给 PancakeSwap。
2/ETH 链,黑客地址 0x48c9...7d79 将 3987.78 WETH Withdraw 成 ETH。
3/ETH 链,黑客地址 0x4967...Eb35 使用 Uniswap、Curve 将 DAI 全部兑换为 renBTC 和 WBTC,兑换后总数分别为 858.0454 renBTC 和 795.2618 WBTC;其中 858.0454 renBTC(价值约 1701 万美元) 已全部跨链到 BTC 链,跨链后地址为 1DYR...heSF,目前 BTC 暂未进一步转移。
截止目前,BXH 被盗资金并没有出现转移到交易所的情况,全部被盗资金仍在黑客地址中。慢雾 MistTrack 将持续监控被盗资金的转移。[2022/9/4 13:07:50]
慢雾:BXH于BSC链被盗的ETH、BTC类资产已全部跨链转至相应链:11月3日消息,10月30日攻击BXH的黑客(BSC: 0x48c94305bddfd80c6f4076963866d968cac27d79)在洗币过程中,多次使用了 AnySwap、PancakeSwap、Ellipsis 等兑换平台,其中部分 ETH 代币被兑换成 BTC。此外,黑客现已将 13304.6 ETH、642.88 BTCB 代币从 BSC 链转移到 ETH、BTC 链,目前,初始黑客获利地址仍有 15546 BNB 和价值超 3376 万美元的代币。慢雾 AML 将持续监控被盗资金的转移,拉黑攻击者控制的所有钱包地址,提醒交易所、钱包注意加强地址监控,避免相关恶意资金流入平台。[2021/11/3 6:28:49]
BXH V2新版本正式完成战略转转型:7月19日,据官方消息,BXH V2新版本正式战略转型为以聚合收益为主,DEX去中心化交易平台为辅的一站式DeFi生态平台 。
包括三大关键升级:1.聚合挖矿的机池功能,具有一键挖矿、费用低廉、高流动性、最优回报四大优势;2.DEX延续利好maker的模型;3.一站式DeFi生态平台,用户可以从BXH单个入口进行所有DeFi操作、追踪资产组合聚合挖矿收益情况。[2021/7/19 1:02:06]
简单说就是有人拿了BXH管理员私钥,给另外一个地址设置成管理员,然后另外这个地址把钱都提走了,然后原来管理员把体现暂停。注意,这里面细节很有意思,黑客的操作也很有逻辑,是让大家感觉是监守自盗还是外面人干的?我个人的理解,如果是私钥被盗,完全可以利用原来的管理员直接提币,先授权新地址再升级合约提币,再用原管理员暂停提现,这是什么神操作。
后面官方公布了被盗的公告,随之听说也开始介入,安全公司派盾也开始介入。官方的电报群开始炸锅,各种信息和传闻铺天盖地,有受害者也在微信和电报建立维权群。后面的信息就太多了,这里就不一一列举了。我就把一些有参考意义的东西列出来,不做点评,大家自行判断:
1、?出事后,官方公布了BSC链上的平台残值:
2、?据说BXH的失控人王斌目前人在迪拜,其他团队在国内,平时都是通过远程控制的方式运作。电报不少人加过王斌,通过电报注册的手机号码也验证了这点。
3、?被盗后,“黑客”第一时间就开始洗币,一开始的BTCB和ETH,均通过RenBTC等跨链桥洗至BTC网络和ETH网络,截止目前为止,被盗资产里面BTC和ETH均已被洗完,BSC钱包里只剩下稳定币和BNB,CAKE等。“黑客”转移资产也是非常有节奏和冷静,可以初步判断,该“黑客“是专业人士,从27日就开始准备,最早的钱包GAS费是从ETH网络匿名而来。29号晚上10点左右开始动手,30号凌晨到早上11点左右完成。资产的转移是从30号早上11点到下午3点左右转移完毕。据官方声称,被盗后已第一时间知会BSC及相关跨链桥,但RENBRIDGE没有黑名单功能,“黑客”仍然顺利洗出资产。
4、?30号被盗当天,“黑客”通过原管理员权限暂停了提币功能,30号下午官方发了被盗公告随机也暂停了提币。既然“黑客“已暂停提币,后续官方又二次暂停提币,后续官方据称已更换OWNER地址及私钥,并声称私钥由新的可控的人士保管。
5、?30号当天官方就发布公告,有介入及安全公司派盾协助调查,但有受害者求证,派盾回复,只是远程协助,并未到国内团队现场。另官方也未透露任何信息,直到11/2日傍晚6点多,官方发布公告,湖南衡阳介入调查,出示了询证函。后有知情人士透露,该地及派盾均为受害者找的,并非官方联系。
6、?因为BXH的BSC链资产被盗,导致连锁反应,国内几大机池分分躺。最大受害者COINWIND,初步统计受影响资金1-1.5亿美金之间,被盗资金6000-8000万。主要原始是COINWIND把大部分的BTC和ETH等资产直接投进了BXH套娃。
本来手上的信息很多很凌乱,需要时间来整理,有很多可以写和提供的,但介于时间问题,后续我再陆续更新。
最后,提供一些技术需要的信息,希望有技术大牛,白帽子能提供帮助:
现将BXH.COM相关币种合约地址公布如下:
BTC:0x2483e0e9b6d2a3b30d375ac43f6798560e235ea0
ETH:0x30032ac497ab92bf4ced1d607b77087afdfae953
USDT:0x0d6302be68ee9d2406aa7e201565916d70e5ca85
USDC:0x66b8b7d0355ad652a6bdf2d28426cac8658839c3
BUSD:0xd82d716a2c06357c6f62ada159ef287ba65b75f3
WBNB:0x48ad49fb3a9188583241c153d4629706db735877
黑客地址:?0x48C94305BDDfd80c6F4076963866D968Cac27d79
黑客通过这个合约来盗取资金:0x13b81fa9c0873a74c49a85bd8149c1c20bf9d18c
BXH的策略地址:0x6aceca12de5a15f11ca51b654433259533b0b802
BXH的owner地址:0x56146B129017940D06D8e235c02285A3d05D6B7C
?有趣的是,这几天,老马的推特发了个曹植的古诗,首富尚有如此格局,希望国人“相煎何太急“啊!
最最后,因为某些特殊原因我不方便暴露太多,皆因幕后黑手还在暗中观察事态进展,有什么有用线索的朋友可以在电报的各个群里面喊一声,会有受害者朋友找到我,希望“黑客“见此也可以联系我,我也愿意充当中间人,盗亦有道,希望可以还用户一个安宁。
-?一个BXH的受害者
-?2021/11/3
标签:SLPINBBASNBASLP币牛市能涨回来吗coinbase国内怎么用coinbase官网下载coinbase股票
区块链桥如何帮助实现不同网络之间的互操作性。近10年前,比特币为区块链奠定了基础。十多年后的今天,有100多个活跃的区块链公共网络存在.
许多人试图将Layer1区块链代币像股票一样进行估值,这是很荒谬的。与其像*公司*一样给以太坊、Solana等定价,不如像*国家*一样给它们定价.
尽管这两个月以来,我研究了很多AxieInfinity的内容:玩法、发展、盈利方式、未来规划,还写了几篇分析文章,自认为对AxieInfinity游戏已经非常了解.
金色周刊是金色财经推出的一档每周区块链行业总结栏目,内容涵盖一周重点新闻、矿业信息、项目动态、技术进展等行业动态。本文是其中的新闻周刊,带您一览本周区块链行业大事.
2021年10月24日,中国首个可交易的NFT平台“一起NFT”APP在多次测试完善后终于上线.
ViaBTCCapital依托ViaBTC的全链条生态,旨在整合多方资源优势提供许多传统投资机构不具备的一站式投融资服务,从而成为加密世界基础设施领域不可或缺又并非人人可做的「造雨人」.