慢霧余弦：發現多起stETH被盜跨鏈至Blast主網的事件，受害者助記詞/私鑰或已泄露

金色財經報道，慢霧創始人余弦在X平臺發文表示，今天慢霧和MistTrack收到至少四起stETH被盜跨鏈到Blast主網的案子。其特征都是從明顯有痕跡的地址（包括交易所）打一點ETH手續費到被盜地址，然后把stETH跨鏈到Blast主網并進行后續轉移，最后將受害者地址剩余的一點點ETH轉移到不同的ETH地址上。已知損失超100枚stETH，恐怕是群體事件。這些受害者的助記詞/私鑰肯定是泄露了，攻擊者埋伏到Blast主網啟動。

此前消息，Scam Sniffer監測顯示，某地址因交互（點擊了簽名授權）虛假Blast空投網站損失了逾10枚質押在Aave上的BTC以及一些PANDORA，損失總額約為717,817美元。

其它快訊：

慢霧余弦：Twitter漏洞需要警惕:金色財經報道，慢霧創始人余弦在社交媒體上表示，Twitter這個嚴重漏洞看起來很嚴重，需要警惕，你如果點擊了黑客準備的鏈接，黑客就能完全訪問你的Twitter賬戶，可以發推、轉發、點贊、屏蔽等等，但無法更改用戶密碼。

看上去類似CSRF這類問題，也許還結合了OAuth2認證授權。目前沒任何細節，等官方修復，等后續披露。[2023/12/13 19:06:44]

慢霧余弦：CVE編號有被NVD引用是很正常的事:12月10日消息，慢霧創始人余弦在社交媒體上表示，CVE 編號有被 NVD 引用是很正常的事，還不至于上升到向美國聯邦政府尋求幫助，試圖審查序號/銘文交易這種層面。

金色財經此前報道，Bitcoin Core開發人員Luke Dashjr在社交媒體發文表示，銘文利用Bitcoin Core客戶端的漏洞已被分配標識符CVE-2023-50428。[2023/12/10 19:00:45]

慢霧余弦：閃電網絡的替換循環攻擊類似MEV的三明治攻擊，需警惕被夾風險:10月22日消息，慢霧創始人余弦在社交媒體上發文表示，閃電網絡出現了替換循環攻擊，與 MEV 里的三明治攻擊有些相似，利用前后夾擊套出被夾目標的資金。

這一攻擊方式的實施并不容易，需要滿足以下條件：

· 在受害者身上打開兩個通道。

· 通過這兩個通道中的其中一個路由付款。

· 成功替換循環受害者的 HTLC-timeouts 在Δ blocks 內。

· 同時，需要確保受害者不會發現 HTLC 預映像交易。

這個風險在被修復之前，使用閃電網絡的項目方在對接上下游建立通道前可以警惕下，最好和有信譽的建立，降低被夾風險，具體情況還需要進一步的測試和驗證。[2023/10/22 17:09:48]