金色财经报道，2022年9月20日，据BeosinEagleEye监测显示，Wintermute在DeFi黑客攻击中损失1.6亿美元，Beosin安全团队发现，攻击者频繁的利用0x0000000fe6a...地址调用0x00000000ae34...合约的0x178979ae函数向0x0248地址转账，通过反编译合约，发现调用0x178979ae函数需要权限校验，通过函数查询，确认0x0000000fe6a地址拥有setCommonAdmin权限，并且该地址在攻击之前和该合约有正常的交互，那么可以确认0x0000000fe6a的私钥被泄露。结合地址特征，疑似项目方使用Profanity工具生成地址。该工具在之前发的文章中，已有安全研究者确认其随机性存在安全缺陷，导致私钥可能泄漏。Beosin安全团队建议：1.项目方移除0x0000000fe6a地址以及其他靓号地址的setCommonAdmin/owner等管理权限，并使用安全的钱包地址替换。2.其他使用Profanity工具生成钱包地址的项目方或者用户，请尽快转移资产。BeosinTrace正在对被盗资金进行分析追踪。
安全团队：发现Circom验证库漏洞CVE-2023-33252:金色财经报道，Beosin 发现Circom 验证库漏洞CVE-2023-33252，提醒zk项目方注意相关风险。Circom是基于Rust开发的零知识证明电路编译器，该团队同时开发了SnarkJS库用于实现证明系统，包括：可信设置、零知识证明的生成和验证等，支持Groth16、PLONK、FFLONK算法。
此前，Beosin 安全研究人员在?SnarkJS 0.6.11及之前的版本的库中发现了一个严重漏洞，当该库在验证证明时未对参数进行完整的合法性检查，使得攻击者可以伪造出多个证明通过校验，实现双花攻击。Beosin在提了这个漏洞以后，第一时间联系项目方并协助修复，目前该漏洞已修复完成。Beosin提醒所有使用了SnarkJS库的zk项目方可将SnarkJS更新到 0.7.0版本！以确保安全性。
同时针对此漏洞，Beosin安全团队提醒zk项目方，在进行proof验证时，应充分考虑算法设计在实际实现时，由于代码语言属性导致的安全风险。目前Beosin已将漏洞提交 CVE漏洞披露平台（Common Vulnerabilities and Exposures）并获取认可。[2023/5/25 10:39:47]
安全团队：0x3d1a开头EOA地址将10枚ETH转入Tornado Cash:金色财经报道，据CertiK监测，EOA地址（0x131f...）将10枚ETH（约1.9万美元）转入Tornado Cash。该笔被盗资金来自几个被Etherscan标记为网络钓鱼的黑地址。[2023/5/8 14:49:44]
安全团队：MoonCake Inu项目代币价格下跌超87%:金色财经消息，据CertiK监测，MoonCake Inu（MCI）项目代币价格下跌87%以上。
BSC地址: 0x98364220b11ddb3a0beFb75432F7F58739741Bf8[2022/9/27 22:33:33]
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。