慢霧安全報告：上周加密領域損失超9000萬美元資金

4月1日消息，慢霧發布每周安全報告，上周加密領域損失超9000萬美元資金。其中Prisma Finance因黑客攻擊造成約1160萬美元損失；Munchables因內部操縱損失約6280萬美元；ZongZiFa因閃電貸攻擊損失約22.9萬美元；Curi生態系統的RWA基礎設施因合約邏輯缺陷損失約1600萬美元。

其它快訊：

慢霧安全提醒：Discord，Telegram頻道公告權限設置提醒:據慢霧安全情報，近期存在項目因 Discord 管理賬戶權限設置問題而造成管理賬戶被接管，并通過公告頻道發布釣魚鏈接，導致社區用戶遭受損失的事件。在此提醒各位注意添加頻道權限設置，管理公告發布，預防仿冒官方人員名稱發布公告及網絡鏈接釣魚問題。[12/24/2021 11:35:26 PM]

慢霧：有用戶遭釣魚攻擊，在OpenSea上架的NFT以極低匹配價格售出:據慢霧消息，有用戶在 OpenSea 掛單售賣的 NFT 被惡意的以遠低于掛單價匹配買。經慢霧安全團隊分析，此是由于該受害用戶遭受釣魚攻擊，錯誤的對攻擊者精心構造的惡意訂單進行簽名，惡意訂單中指定了極低的出售價格、買方地址為攻擊者以及出售 NFT 為受害用戶在 OpenSea 上架的待出售 NFT。攻擊者使用受害用戶已簽名的出售訂單以及攻擊者自己的購買訂單在 OpenSea 中進行匹配，并以攻擊者指定的極低價格成交，導致受害用戶的 NFT 以非預期的價格售出。[12/11/2021 11:26:35 PM]

分析 | 慢霧安全團隊提醒｜EOS假賬號安全風險預警:根據IMEOS報道，EOS 假賬號安全風險預警，慢霧安全團隊提醒：

如果 EOS 錢包開發者沒對節點確認進行嚴格判斷，比如應該至少判斷 15 個確認節點才能告訴用戶賬號創建成功，那么就可能出現假賬號攻擊。

攻擊示意如下：

1. 用戶使用某款 EOS 錢包注冊賬號（比如 aaaabbbbcccc），錢包提示注冊成功，但由于判斷不嚴格，這個賬號本質是還沒注冊成功

2. 用戶立即拿這個賬號去某交易所做提現操作

3. 如果這個過程任意環節作惡，都可能再搶注 aaaabbbbcccc 這個賬號，導致用戶提現到一個已經不是自己賬號的賬號里

防御建議：輪詢節點，返回不可逆區塊信息再提示成功，具體技術過程如下：

1. push_transaction 后會得到 trx_id

2. 請求接口 POST /v1/history/get_transaction

3. 返回參數中 block_num 小于等于 last_irreversible_block 即為不可逆[7/16/2018 12:00:00 AM]