前言
北京时间2022年3月31日，知道创宇区块链安全实验室?监测到借贷平台Ola_finance遭到重入攻击，黑客窃取216964.18USDC、507216.68BUSD、200000.00fUSD、55045WETH、2625WBTC和1240,000.00FUSE，约467万美元。
分析
其中一起攻击事件如下图所示，该次攻击事件的问题点在于Ola.finance和ERC677代币的不兼容，这些代币的内置回调函数被攻击者利用进行重入攻击以耗尽借贷池。
所有攻击事件如下：
20WBTC100WETH被盗：https://explorer.fuse.io/tx/0xe800f55fe6c81baba1151245ebc43692735d4019107f1f96eeb9f05648c79938/token-transfers
100WETH被盗：https://explorer.fuse.io/tx/0xb8ef2744647027047e383b6cdd660a950b4f6c6bbbc96378ef1e359b4369ffc1/token-transfers
Bakkt 面向个人的应用将于 3 月 16 日停止服务:2月13日消息，数字资产平台 Bakkt 宣布其面向个人的应用将于 3 月 16 日停止服务，未来将专注其 B2B 技术解决方案，即通过安全合规平台上的 SaaS 和 API 解决方案，为企业的客户提供加密货币和忠诚度解决方案。当前的 Bakkt App 用户将保留对 Bakkt 平台上所有加密货币和现金的访问权限。用户仍将能够查看加密货币余额，以及出于计算税收目的访问加密货币交易报告。[2023/2/14 12:04:43]
100WETH被盗：https://explorer.fuse.io/tx/0xff4fa726d0967bda03124fb71d58f0aa32d8132029804cdcf0c517761f4acd74/token-transfers
100WETH被盗：https://explorer.fuse.io/tx/0xf06a9b830dc2577e62016df45ee6f824d9112d32d3f66f4e1e31639d15a3812d/token-transfers
a16 Crypto首席安全官：黑客伪造“苹果公司”来电对大量Web3名人进行网络钓鱼攻击:11月26日消息，a16 Crypto首席安全官Nasse-nassyweazy.eth透露，目前有黑客伪造“苹果公司”电话对大量Web3名人进行网络钓鱼攻击。攻击者伪造来电显示为“Apple,Inc.”的号码并索取iCloud“恢复密码”，一旦得手就会窃取所有iCloud同步数据并要求受害者支付赎金。黑客还通过扫描文档/图片获取加密钱包助记词或密码，然后注册新地址转移和出售受害者钱包内全部有价值的加密资产并清空钱包。[2022/11/26 20:47:39]
100WETH被盗：https://explorer.fuse.io/tx/0xb535823c71bf753e6468e40ce009f00ab473e716900417719377a0c50892816f/token-transfers
52.094WETH被盗：https://explorer.fuse.io/tx/0xf1ac951de9eda1be73fd99adf9cca902b0ff28515ec3061b487e52cf352f5b6a/token-transfers
ZB 创新智库：十二月份披露区块链公开融资事件 16 起，多个知名项目完成融资:据 ZB 创新智库统计，2019 年十二月份公开披露的区块链融资事件 16 起，环比下降 33% 以上。区块链金融板块独占鳌头，发生融资 11 起；企业服务板块融资 3 起。ZB 创新智库分析师表示：区块链融资呈现出向头部知名项目显著倾斜的趋势，比如 Ripple、MakerDao、Nervos、云象区块链等先后获得注资，而初创企业和早期项目获得的资金数量或许正在大幅减少。[2020/1/2]
6.246WBTC被盗：https://explorer.fuse.io/tx/0x719ec16e785463adf78e8ebf32286f837f7546e4301d9bce620da08af435bb3a/token-transfers
216964.176USDC被盗：https://explorer.fuse.io/tx/0x0df8dce11993a2efff59a416aa967b64b9ebe0ab66f996cfdb41a463b952dd86/token-transfers
动态 | EOS Dapp活跃用户127016 交易额6850万元:据DappReview数据显示，今日Dapp新增3个,EOS Dapp活跃用户127016，交易额6850万元（+10%）；Tron Dapp活跃用户25096，交易额1.08亿元（+11%）；ETH Dapp活跃用户19881，交易额4761万元（-9%）。过去24小时Dapp交易额：EOS最高的为“Newdex”（交易额1369万元）；Tron最高的为“WINk(TRONbet)”（交易额6663万元）；ETH最高的为“NEST”（交易额3531万元）。[2019/8/12]
507216.676BUSD被盗：https://explorer.fuse.io/tx/0x1b3e06b6b310886dfd90a5df8ddbaf515750eda7126cf5f69874e92761b1dc90/token-transfers
200000fUSD被盗：https://explorer.fuse.io/tx/0x17883e8a1bcfc85b80f00f8faa730f2da17b1d9fe48c1922c05e51a1a9e01a2c/token-transfers
动态 | 今日恐慌与贪婪指数为16 等级由贪婪转为极度恐惧:Alternative.me数据显示，今日恐慌与贪婪指数为16（昨日为61），恐慌程度大幅上升， 等级由贪婪转为极度恐惧。 恐慌指数由0至100，其中0表示“极度恐惧”，而100表示“极度贪婪”。[2019/7/15]
1240000FUSE被盗：https://explorer.fuse.io/tx/0x8223170a722eba6d4583845f377ba5f353e8e589d0d16b6a4fb0a2feaad94a8c/internal-transactions
基础信息
攻击合约：
Contract1：0x632942c9BeF1a1127353E1b99e817651e2390CFF
Contract2：0x9E5b7da68e2aE8aB1835428E6E0c83a7153f6112
攻击者地址：0x371D7C9e4464576D45f11b27Cf88578983D63d75
攻击tx：0x1b3e06b6b310886dfd90a5df8ddbaf515750eda7126cf5f69874e92761b1dc90
漏洞合约：0x139Eb08579eec664d461f0B754c1F8B569044611
流程
攻击者攻击的流程如下：
1.攻击者将550.446WETH从攻击合约0x6392转到另一个攻击合约0x9E5b。
2.攻击者存入550.446WETH到cETH合约0x139Eb08579eec664d461f0B754c1F8B569044611获取铸币27284.948oWETH。
3.由于有了27284.948oWETH，攻击者可以从cBUSD合约0xBaAFD1F5e3846C67465FCbb536a52D5d8f484Abc中借出507216.676BUSD。
4.攻击者在BUSD转账到攻击合约0x9E5b期间调用回调函数，将27284.948oWETH转给攻击合约0x6329，借到507216.676BUSD后也转给攻击合约0x6329。
5.攻击合约0x6329赎回27284.948oWETH获得550.446WETH。
细节
该攻击事件主要问题发生在上面流程的第三步和第四步。
由于ERC677代币中存在transferAndCall函数，所以可以进行外部调用。
16487976226614.jpg "/>在BUSD从oBUSD借出转账到攻击合约0x9E5b期间，在攻击合约0x9E5b中调用一个回调函数，将oWETH从攻击合约0x9E5b转到攻击合约0x6329中，借出BUSD后也转给攻击合约0x6329。
通过代码我们可以看出虽然Erc20Delegator合约的?函数有防止重入修饰器?的限制，但这个修饰器只能防止外部调用重入攻击自身合约，并不能够防止外部调用重入其他合约。
最后由于攻击合约0x6329没有进行借贷，所以它可以将oWETH赎回WETH。攻击者最终得到了用作抵押来借用BUSD代币的WETH和他们借来的BUSD代币。
后续处理
Ola.finance官方发表声明称：
我们将发布一份关于所有借贷网络中列出的所有代币的详细报告，确认此攻击无法在其他借贷网络上复制。为此，我们将调查每个代币的「转移」逻辑，以确保没有使用有问题的代币标准。此外，每个借贷网络创建者都将被提供在其借贷网络上快速暂停代币铸造和借贷的能力。稍后，我们将发布一个补丁，允许Compound分叉安全地列出符合ERC677/ERC777标准的代币。在此之前，Fuse上的借贷网络的借贷将暂时禁用；借入资产的用户不会累积利息，并鼓励他们此时不要偿还贷款。一旦此补丁经过彻底测试和审核，Voltage上的全部借贷功能将恢复。在接下来的几天里，我们将发布正式的补偿计划，详细说明向受影响用户分配的资金。这将伴随更多文章，概述我们将更深入地采取的「下一步」。我们感谢我们的合作伙伴支持分析这次攻击并帮助我们迅速解决问题。
总结
Ola.finance是基于Compound合约改写的，而Compound合约和ERC677/ERC777的代币之间不兼容，使得这些代币的内置回调函数被攻击者利用，用以重入来耗尽借贷池。
海贼王英雄是一个以航海征服故事为背景的NFT集卡TCG游戏。应用了当下最火爆的NFT概念,将游戏与DeFi的收益耕作完美的融合起来,让玩家在游戏娱乐的同时,也能获得丰厚的链上收益.
親愛的AAX用戶們： AAX即將上線TAFToken(TAF),詳情如下：充值開放時間：2022年4月1號17：00提幣開放時間：2022年4月1號17：00交易開放時間：2022年4月4號16.
原文作者：DuneAnlystic联合创始人FredrikHaga我们最近刚刚宣布以独角兽估值筹集了6942万美元的B轮融资.
尊敬的XT.COM用戶：XT.COM作為致力於為全球優質的數字資產提供優質服務的交易平臺。平臺會定期對已上線的幣種進行綜合性審核,以確保平臺幣種的高水準交易.
關於Gate.ioStartup免費空投計劃爲回饋平臺用戶,Gate.io上線“免費空投計劃”,在Startup區不定期進行區塊鏈項目的免費空投計劃.
1HeroesChained(HECH)TokenSaleResultTheGate.ioStartupHeroesChained(HECH)saleresultisasfollows:HECH.
区块见闻