安全團隊：BSC Token Hub跨鏈交易驗證方式存在漏洞

10月7日消息，據Beosin EagleEye平臺監測顯示，BSC Token Hub10月7日遭遇黑客攻擊，Beosin安全團隊現將手法解析如下：幣安跨鏈橋BSC Token Hub在進行跨鏈交易驗證時，使用了一個特殊的預編譯合約用于驗證IAVL樹。而該實現方式存在漏洞，該漏洞可能允許攻擊者偽造任意消息。

1）攻擊者先選取一個提交成功的區塊的哈希值（指定塊：110217401）

2）然后構造一個攻擊載荷，作為驗證IAVL樹上的葉子節點

3）在IAVL樹上添加一個任意的新葉子節點

4）同時，添加一個空白內部節點以滿足實現證明

5）調整第3步中添加的葉子節點，使得計算的根哈希等于第1步中選取的提交成功的正確根哈希

6）最終構造出該特定區塊（110217401）的提款證明

Beosin Trace正在對被盜資金進行實時追蹤。

安全團隊：Polygon上的Midas Capital項目被攻擊，損失約66萬美元:1月16日消息，據Beosin-Eagle Eye態勢感知平臺消息，Polygon上jarvis項目中的Midas Capital礦池項目被黑客使用的view重入和價格操控組合漏洞攻擊，黑客獲利663101 MATIC（約66萬美元）。攻擊之后，Beosin Trace追蹤發現黑客將663101MATIC發送給地址0xe53......59be，然后分散至其他10個其他的地址，這些地址總共又將15935的MATIC發送至0x04Ec......46F2地址中，目前14581枚MATIC轉入Kucoin交易所，1671MATIC枚轉入幣安交易所。

其他代幣仍然留在上述地址上。[2023/1/16 11:14:35]

安全團隊：約340枚ETH的Curve被盜資金被分別轉入Tornado Cash、FixedFloat和幣安:金色財經報道，據派盾（PeckShield）監測，Curve的被盜資金約有27.7枚ETH轉移至TornadoCash，約292枚ETH轉移至FixedFloat，約20枚ETH轉移至幣安。

此前消息，加密交易所FixedFloat發推稱，其安全部門已經凍結部分轉入其平臺的Curve被盜資金，數量為112枚ETH。[2022/8/10 12:14:53]

安全團隊：ProjectX項目發生Rug Pull，合約部署者拋售代幣后獲利1.9萬美元:7月7日消息，安全團隊CertiK今日發推文稱，ProjectX項目發生Rug Pull，其PXT代幣下跌92%，合約部署者鑄造了100萬枚PXT且將其中的50萬枚發送至EOA外部賬戶并進行拋售，獲利1.9萬美元。該項目的Discord服務器也已被刪除。[2022/7/7 1:57:37]