安全公司：Punk Protocol被黑因其CompoundModel的Initialize函数未做重复初始化检查

据慢雾区消息，去中心化年金协议 Punk Protocol 在公平启动的过程中遭遇攻击，慢雾安全团队以简讯形式将攻击原理分享如下：

1.攻击者调用CompoundModel合约的Initialize函数进行重复初始化操作，将合约Forge角色设置为攻击者指定的地址。

2.随后攻击者为了最大程度的将合约中资金取出，其调用了invest函数将合约中的资金抵押至Compound中，以取得抵押凭证cToken。

3.最后攻击者直接调用withdrawToForge函数将合约中的cToken转回Compound获取到对应的底层资产并最终将其转给Forge角色。

4.withdrawToForge函数被限制只有Forge角色可以调用，但Forge角色已被重复初始化为攻击者指定的地址，因此最终合约管理的资产都被转移至攻击者指定的地址。总结：本次攻击的根本原因在于其CompoundModel的Initialize函数未做重复初始化检查，导致攻击者直接调用此函数进行重复初始化替换Forge角色，最终造成合约管理的资产被盗。

总结：本次攻击的根本原因在于其 CompoundModel 的 Initialize 函数未做重复初始化检查，导致攻击者直接调用此函数进行重复初始化替换 Forge 角色，最终造成合约管理的资产被盗。

安全公司Sentiment攻击者归还约88万美元资金:金色财经报道，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，截至目前，Sentiment Exploiter攻击者向0xc5fc2Cbf32C09F89F91Caf2023884729116eA5D1地址发送465.75ETH，随后被发送至多签合约0x7582BC8402865c57bC55320B2a3Fe8EaC46C233C，这部分ETH价值约88万美元，疑似已归还到项目方。此外，51ETH被攻击者发送到Tornado.Cash，价值约9.6万美元。此前消息，Sentiment遭遇攻击损失价值共517ETH，约1百万美元。[2023/4/6 13:47:42]

安全公司：NFT系列Small Bros的Discord服务器被攻击:12月1日消息，安全公司CertiK Alert发推称，NFT 系列 Small Bros 的 Discord 服务器已被攻击，并发布了钓鱼链接。提醒用户在修复之前不要点击任何发布的链接。[2022/12/1 21:16:02]

彭博社：加密硬件和安全公司Ledger正寻求1亿美元以上融资，以获得更高估值:7月31日，据彭博社援引知情人士报道，加密硬件和安全公司Ledger正洽谈一轮规模至少为1亿美元的融资，此次融资将使其估值进一步提高。

此前报道，2021年6月，加密硬件钱包生产商Ledger完成3.8亿美元的C轮融资，估值超过15亿美元。知名投资者Dan Tapiero创立的数字资产基金10T Fund领投，其他投资者包括Tekne Capital、Uphold Ventures、Felix Capital、Inherent、Financière Agache(GroupeArnault)及iAngels Technologies。[2022/7/31 2:49:22]

相关资讯