安全公司 Dedaub 發現 Solidity 編譯器存在漏洞，多數已部署合約中的死代碼極大增加 Gas 費成本

2月11日消息，安全公司 Dedaub 團隊發現以太坊編程語言 Solidity 編譯器存在漏洞，導致已部署的合約字節碼中包括死代碼（dead code），致使部署和操作智能合約時極大地增加了 Gas 費成本。Dedaub 表示，團隊在評估開源二進制分流器 Gigahorse 時發現了這個錯誤。當庫方法只被合約的構造器調用時，該漏洞就會出現。

通過 Gigahorse 分析，Dedaub 發現至少 35% 合約上存在一些死代碼，其中 33% 占據其運行的大部分字節碼。這些結果以 NFT 代理為主導，但其他代理合約也有同樣問題。對于大型合約，該問題可以被忽略，但大多數已部署的合約都是小型合約。Dedain 團隊在去年 11 月就已經發現了這個錯誤，并提醒 Solidity 團隊確認該問題。

安全公司：BSC上項目HUNTER發生Rug Pull，損失達120萬美元:5月8日消息，據CertiK監測，HUNTER項目（代幣為Hound）發生Rug Pull，損失達120萬美元。目前其Discord、電報頻道已經關閉，官方網站也不可用。其BSC鏈上合約地址為：0x1e4402Fa427a7A835fC64ea6d051404ce767A569。[2022/5/8 2:58:45]

安全公司：YFV項目勒索事件根本原因在于沒有做好上線前的代碼審計工作:今日早間，基于以太坊的一DeFi項目YFV發文稱遭到勒索。攻擊者利用staking的合約漏洞，可以任意重置用戶鎖定的YFV。并表示，此次事件可能和不久前的“pool0”事件相關，勒索者極有可能是在“pool0”事件中未取回資金的“憤怒的農民”。

成都鏈安分析稱，合約存在一個stakeOnBehalf函數使得攻擊者可以為任意用戶進行抵押，此函數中的 lastStakeTimes“stakeFor”= block.timestamp; 語句會更新用戶地址映射的laseStakeTimes“user”。而用戶取出抵押所用的函數中又存在驗證，要求用戶取出時間必須大于lastStakeTimes“account”+72小時。

綜上所述，惡意用戶可以向正常用戶抵押小額的資金，從而鎖定正常用戶的資金。根據鏈上信息，我們找到了兩筆疑似攻擊的交易，兩筆交易都來自同一地址，且均為極小值。由此我們可以基本判定這是一個測試鎖死問題的交易。[2020/8/25]

安全公司Imperva Incapsula發現門羅幣挖礦的新型病“Kitty”:安全公司Imperva Incapsula發現門羅幣挖礦的新型病“Kitty”,其利用開源內容管理系統（CMS）“Drupal”的漏洞展開攻擊。根據Imperva的博客，其病利用的是Drupal 2018年3月8日發表的更新版本中的遠程執行代碼漏洞（CVE-2018-7600）。該病從4月上旬被發現后便以各種形式進行攻擊。如果感染此病，其便會與服務器綁定，開始啟動叫做“kkworker”的門羅幣挖礦程序。[2018/5/7]