2月21日，据区块链安全审计公司Beosin旗下BeosinEagleEye安全风险监控、预警与阻断平台监测显示，Arbitrum链上HopeFinance项目发生RugPull，也就是我们通常所说的“拉地毯似局”。
Beosin安全团队分析发现攻击者(0xdfcb)利用多签钱包(0x1fc2)执行了修改TradingHelper合约的router地址的交易，从而使GenesisRewardPool合约在使用openTrade函数进行借贷时，调用TradingHelper合约SwapWETH函数进行swap后并不会通过原本的sushiswap的router进行swap操作，而是直接将转入的代币发送给攻击者(0x957d)从而获利。攻击者共两次提取约180万美金。?
MistTrack：Poly Network黑客已获利超1000万美元:金色财经报道，据慢雾旗下MistTrack监测，已发现Poly Network事件两笔新被盗交易，金额超过300万枚USDC和260万枚USDT。攻击者将USDC兑换为1557.36枚ETH并保存在地址（0x2f6c...7b82）中，将USDT兑换为1371.64枚ETH并保存在地址（0x3d66...7047）中。截至目前，黑客已经获利超过1000万美元。[2023/7/3 22:15:35]
攻击交易1：
0xc9ee5ed274a788f68a1e19852ccaadda7caa06e2070f80efd656a2882d6b77eb
攻击交易2：
Indexed Finance就攻击事件发布更新：将争取与黑客接触并追回被盗资金:10月16日，被动收益协议Indexed Finance在推特上就攻击事件发布更新：
- 如果您在DEFI5、CC10或FFF池中持有LP代币，请退出（如果您还没有这样做），以便尽可能多地恢复关联ETH）。关于试图销毁代币本身，我们建议不要这样做，因为你在花费gas后什么也得不到。
- 如果您在攻击发生后一直在购买DEFI5、CC10或FFF，并预期会出现反弹，请注意，这种情况不会发生。如果你正在考虑这样做，请打消这种想法。
- DEGEN、NFTP和ORCL5池是安全的。它们也受到了相同攻击漏洞的影响，但使攻击奏效的一组环境没有就位。它们不能被攻击，但还是要保持警惕。
- 值得注意的是，在这次攻击之后，攻击者还没有转移任何资金。我们鼓励黑客与我们合作，争取白帽赏金，但这最终取决于他们。
- 社区也有几个专家在发掘关于攻击者的细节。如果攻击者不主动与我们联系，我们将悬赏5万美元寻找能让他们归还资金的线索。
- 如果资金开始移动，业内相关方随时准备向交易所发出警告。我们也接触了在政府层面有网络犯罪分析经验的各方，他们正在调查该事件。[2021/10/16 20:33:23]
0x322044859fa8e000c300a193ee3cac98e029a2c64255de45249b8610858c0679(447WETH)
Nexus Mutual：黑客地址又通过1inch卖出了约3.5万枚WNXM:12月16日消息，去中心化互助保险平台 Nexus Mutual推特发文称，发现黑客另外一个地址，而该地址KYC资料可能是真的。团队已与有关执法部门联系，进行进一步调查。另外今早，黑客地址又通过1inch卖出了约3.5万枚WNXM，目前手上剩余的WNXM数量约16.2万枚。
此前报道，Hugh Karp 的个人地址被一位平台用户攻击，被盗 37 万枚 NXM。[2020/12/16 15:21:56]
攻击交易3：
0x98a6be8dce5b10b8e2a738972e297da4c689a1e77659cdfa982732c21fa34cb5(1061759USDC)
动态 | 黑客为挖矿攻击路由器 降维提示用户注意互联网安全:从今年4月份至今，黑客利用了约210,000台MikroTik路由器上存在的安全漏洞，通过此漏洞将挖矿木马Coinhive的Javascript注入用户浏览器访问的每个网页，最终迫使每台连接的电脑在不知情的情况下为黑客挖掘门罗币。
降维安全提示：黑客利用用户私人财产挖矿已成常态化。用户除了及时对自己的电脑、手机安装最新系统更新外，路由器安全也应放在日常关注之列。及时的安装安全补丁可以有效降低用户的路由器被攻破的风险，避免成为黑客非法挖矿的帮凶。[2018/8/4]
在昨天的时候，BeosinTrace追踪发现攻击者已将资金转入跨链合约至以太链，最终资金都已进入tornado.cash。
Beosin也在第一时间提醒用户：请勿在0x1FC2..E56c合约进行抵押操作，建议取消所有与该项目方相关的授权。
有趣的一点是，项目方似乎知道是谁的，直接放出攻击者的信息。
该帖子声称黑客是一名名叫UgwokePascalChukwuebuka的尼日利亚人。尼日利亚国民参与该项目的情况尚不清楚，但他的实际身份受到社区成员的质疑。
紧接着，有推特用户分享了地图里搜索出来的地址，直接开启“人肉”模式。
据公开资料，HopeFinance的智能合约由一家不出名的机构审计。尽管标记了一些小漏洞，但该平台得出的结论是，HopeFinance的智能合约代码已“成功通过审计”，“没有提出警告”。
这也提醒我们，找正规安全审计公司的重要性。
根据Beosin2022年的年报数据，去年2022年共发生Rugpull事件超过243起，总涉及金额达到了4.25亿美元。
243起rugpull事件中，涉及金额在千万美元以上的共8个项目。210个项目跑路金额集中在几千至几十万美元区间。
而Beosin也总结出Rugpull事件具有以下特点：
1.Rug周期时间短。大部分项目在上线后3个月内就跑路，因此大部分资金量集中在几千至几十万美元区间。
2多数项目未经审计。有些项目的代码里暗藏后门函数，对于普通投资者而言，很难评估项目的安全性。
3.社交媒体信息欠缺。至少有一半的rugpull项目没有完善的官网、推特账号、电报/Discord群组。
4项目不规范。有些项目虽然也有官网和白皮书，但仔细一看有不少拼写和语法错误，有些甚至是大段抄袭。
5.蹭热点项目增多。去年出现了各类蹭热点币种跑路事件，如Moonbird、LUNAv2、Elizabeth、TRUMP等，通常及其快速地上线又火速卷款而逃。
也因此，项目方和用户都需要做好安全防护。部分项目开发匆忙、未经审计就上线很容易遭受攻击。此外，除了合约安全、私钥/钱包安全，团队运营安全等还需要重视，有一个薄弱的领域都可能让项目方造成巨大损失。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。