慢霧：OKX DEX Proxy Admin Owner私鑰泄漏，攻擊者已獲利約43萬U

金色財經報道，據慢霧區消息，OKX DEX合約疑似出現問題，慢霧分析后發現：用戶進行兌換時會授權給TokenApprove合約，DEX合約通過調用TokenApprove合約轉移用戶代幣。DEX合約存在claimTokens函數，允許可信的DEX Proxy進行調用，其功能是調用TokenApprove合約的claimTokens函數轉移已授權用戶的代幣。可信的DEX Proxy由Proxy Admin進行管理，Proxy Admin Owner可以通過Proxy Admin升級DEX Proxy合約。

Proxy Admin Owner在2023-12-12 22:23:47通過Proxy Admin升級了DEX Proxy合約到新的實現合約，新的實現合約功能是直接調用DEX合約的claimTokens函數轉移代幣。隨后攻擊者開始調用DEX Proxy竊取代幣。Proxy Admin Owner在2023-12-12 23:53:59再次升級了合約，實現功能與先前類似，升級后繼續竊取代幣。截止現在獲利約43萬U。

該攻擊或為Proxy Admin Owner私鑰泄漏，目前DEX Proxy已被移出受信列表。

其它快訊：

慢霧：Moonbirds的Nesting Contract相關漏洞在特定場景下才能產生危害:據慢霧區情報反饋，Moonbirds 發布安全公告，Nesting Contract 存在安全問題。當用戶在 OpenSea 或者 LooksRare等NFT交易市場進行掛單售賣時。賣家不能僅通過執行 nesting(筑巢) 來禁止NFT售賣，而是要在交易市場中下架相關的 NFT 售賣訂單。否則在某個特定場景下買家將會繞過 Moonbirds 在nesting(筑巢)時不能交易的限制。慢霧安全團隊經過研究發現該漏洞需要在特定場景才能產生危害屬于低風險。建議 Moonbirds 用戶自行排查已 nesting(筑巢)的 NFT 是否還在 NTF 市場中上架，如果已上架要及時進行下架。更多的漏洞細節請等待 Moonbirds 官方的披露。[5/30/2022 11:23:09 AM]

慢霧：PancakeBunny被黑是一次典型利用閃電貸操作價格的攻擊:幣安智能鏈上DeFi收益聚合器PancakeBunny項目遭遇閃電貸攻擊，慢霧安全團隊解析：這是一次典型的利用閃電貸操作價格的攻擊，其關鍵點在于WBNB-BUNNYLP的價格計算存在缺陷，而BunnyMinterV2合約鑄造的BUNNY數量依賴于此存在缺陷的LP價格計算方式，最終導致攻擊者利用閃電貸操控了WBNB-BUNNY池子從而拉高了LP的價格，使得BunnyMinterV2合約鑄造了大量的BUNNY代幣給攻擊者。慢霧安全團隊建議，在涉及到此類LP價格計算時可以使用可信的延時喂價預言機進行計算或者參考此前AlphaFinance團隊。[5/20/2021 11:02:16 AM]

慢霧：Polkatrain 薅羊毛事故簡析:據慢霧區消息，波卡生態IDO平臺Polkatrain于今早發生事故，慢霧安全團隊第一時間介入分析，并定位到了具體問題。本次出現問題的合約為Polkatrain項目的POLT_LBP合約，該合約有一個swap函數，并存在一個返傭機制，當用戶通過swap函數購買PLOT代幣的時候獲得一定量的返傭，該筆返傭會通過合約里的_update函數調用transferFrom的形式轉發送給用戶。由于_update函數沒有設置一個池子的最多的返傭數量，也未在返傭的時候判斷總返傭金是否用完了，導致惡意的套利者可通過不斷調用swap函數進行代幣兌換來薅取合約的返傭獎勵。慢霧安全團隊提醒DApp項目方在設計AMM兌換機制的時候需充分考慮項目的業務場景及其經濟模型，防止意外情況發生。[4/5/2021 10:01:55 AM]