黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

《Unibot 遭攻击损失超 60 万美元,TG BOT 安全性存疑》

来源:Odaily 星球日报

今天下午,多位社区成员反应,Telegram Bot 项目 Unibot 遭遇攻击。根据 Scopescan 监测,攻击者从 Unibot 用户处转移代币,并正在将其兑换成 ETH,目前损失已超过 60 万美元。

消息一出,代币 UNIBOT 从 55 USDT 最低跌至 33 USDT,最大跌幅 40% ,目前暂报 39.5 USDT。

黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

安全公司:尽快取消授权

安全机构 BlockSecTeam 分析认为,由于代码未开源,怀疑是 0x126c 合约中的函数 0xb2bd16ab 缺乏输入验证,从而允许任意调用。因此,攻击者可以调用「transferFrom」来转出合约中批准的代币。BlockSecTeam 提醒用户,尽快撤销合约批准,并将资金转移到新钱包。

黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

Beosin 安全团队分析认为,Unibot 被攻击的根本原因在于 CAll 注入,攻击者可以将自定义的恶意调用数据传递到 0xb2bd16ab 合约中,从而转移获得 Unibot 合约批准的代币。Beosin Trace 正在对被盗资金进行追踪,同时 Beosin 提醒用户可在 Revoke 上取消钱包授权,链接:https://revoke.cash/。攻击相关地址如下:https://eagleeye.space/address/0x413e4Fb75c300B92fEc12D7c44e4c0b4FAAB4d04

黑客蛰伏半年进行攻击

本次 Unibot 一个蹊跷点在于,黑客地址从今年 5 月 Unibot 合约部署后就进行蹲守。根据 Scopescan 监测,黑客在 Unibot 启动一周后,从 FixedFloat(混币器)收到 1 枚 ETH 做为此次攻击的 Gas,此后半年再没有相关动作,直到今日进行攻击。

不少加密社区用户猜测,这次攻击可能是 Unibot 内部人士作恶,因为事故发生时间非常巧合,正好是 Unibot 更换新合约后的窗口期(两天前才升级的新合约),黑客轻易地找到了合约漏洞。

链上信息显示,黑客钱包地址目前剩余资产约 63 万美元,剩余资产占比最多的是 ETH,约为 57.3 万美元,其他被盗资产涉及币种情况如下

黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

另外根据 Lookonchain 监测,本次攻击事件中一名用户先后两次资产被盗。该用户账户最初收到 20, 789 个的 USDC,花了 1000 美元购买了 SMilk,剩余价值 19, 789 美元的 USDC 被攻击者偷走了,但该用户还没有注意到。今天下午,该用户以 2, 194 美元的价格卖出 SMilk,赚了 1, 194 美元(收益率 120% );一个小时后,最后剩下的 2194 美元的 USDC 又被偷了。

路由器出现漏洞,攻击仍在持续

Unibot 官方发布公告称,本次攻击主要是新的路由器(router)出现代币批准漏洞,目前已经暂停了路由器;由于该漏洞造成的任何资金损失都将得到补偿,Unibot 将在调查结束后发布详细答复。

黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

社区用户 @tomkysar 表示,针对 Unibot 的攻击仍在持续,两个攻击者地址似乎仍然能够从 0x126 Router 获得批准的 addys 处获取资金,用户资金仍存在风险。

BOT 产品安全存疑

Unibot 是一款流行的新型 Telegram Bot,允许用户无需离开 Telegram 应用即可交易加密货币货币。该机器人易于使用、交易速度快,并提供多种功能,例如去中心化跟单交易、基于 DEX 的限价订单以及针对 MEV 机器人的防护。

根据 CoinGecko 数据,UniBOT 自成立至今,收益为 8950 枚 ETH,位列所有 BOT 产品第二;Maestro 排名第一,累计收益 1.32 万枚 ETH;Banana Gun 排名第三,收益为 1940 枚 ETH。

不过,BOT 产品也存在较大安全隐患,特别是最近 Maestro 合约也出现同样的路由器漏洞,损失约 281 ETH——该漏洞允许攻击者转移其路由器 2 合约 ( https://etherscan.io/address/0x80a64c6d7f12c47b7c66c5b4e20e72bc1fcd5d9e… ) 上已获得批准的任何代币。最终,Maestro 选择赔付用户部分损失。

原文链接

文章来源于互联网:黑客蛰伏半年,Unibot遭攻击代币1小时下挫30%

免责声明:

1.资讯内容不构成投资建议,投资者应独立决策井自行承担风险

2.本文版权归属原作所有,仅代表作者本人观点,不代表本站的观点或立场

上一篇 2023年10月31日 下午4:54
下一篇 2023年10月31日 下午5:39

相关推荐

  • 抢滩比特币基础设施,OKX等交易平台争相支持BRC-20

    《抢滩比特币基础设施,OKX 连续发推提及 BRC-20》 来源:0xTree 比特币「数字黄金」叙事经历数次重大压力测试,其价值共识被反复加固。 没人能想到,十五年后,Ordinals 的出现会为比特币带另外的价值想象,带来新叙事。 Ordinals 获得市场空前关注同时,也获得全球交易平台 OKX 的倾力支持。近期,OKX 创始人徐明星连续发推提及 BR…

    2023年5月16日
  • 3000美元坏账引发纷争:Iron Bank与Alpha Homora因何闹僵?

    近期,Iron Bank 和 Alpha Homora 之间就逾 3000 万美元的坏账「闹僵」一事在 DeFi 圈内引发了广泛讨论。 Iron Bank 是的前身是 Cream v2,这是由 Cream Finance 和 Yearn Finance 联合推出的一个支持部分抵押(甚至无抵押)的借贷市场,而 Alpha Homora 则是一家旨在提供收益耕作…

    2023年3月7日
  • 数据:某地址凌晨将 1.6 万枚 ETH 转入币安,并在 Uniswap 抛售 4000 枚 ETH

    ChainCatcher 消息,据 Lookonchain 数据显示,某个被标记为 Smart Money 的地址(0x2482…00A1)于 6 小时前在 Uniswap 平台抛售 4000 枚ETH(约合700万美元),同时将 1.6 万枚 ETH 转入币安。目前该地址仍持有 20,891 枚 ETH (约合 3670 万美元), 持仓均价为…

    2023年3月21日
  • TON生态首个Launchpad项目,解析TonUP参与机制及代币经济

    内容目录: · TON 生态首个 Launchpad,解析 TonUP 参与机制 · 详解$UP 代币经济学 · 多个 IDO 项目齐飞,融资最高超 1 亿美元 自 TON 生态首个 Launchpad TonUP 在今年 8 月推出以来,这个背靠 Telegram 团队推出的公链 TON、吸引水滴资本等一众风投机构青睐的 IDO 平台,引起了社区的关注。伴…

    2023年12月22日
  • 想玩转meme币?这些底层逻辑及投资方法论你必须了解

    作者:西米Sammi meme 在加密世界的重要性 meme 自 2021 年被 shib,doge 带火之后,便在加密行业拥有举足轻重的地位,成为加密投资版图中重要的组成部分之一。shib 的 50 万倍,doge 的 400 倍,为币圈创造不少造富神话和新增流量。 根据 CoinGecko 数据,截至 2023 年 4 月 14 日,当前全球加密货币总市…

    2023年4月16日
返回顶部