특별주제 | 유니스왑과 렌드프.미가 잇따라 공격을 받고 있다

星球日报讯 今天下午，Tokenlon发消息称Uniswap上的imBTC池遭到黑客攻击并已耗尽。PeckShield安全人员跟进研究发现，Uniswap在此次攻击中损失了1278个ETH，价值约22万美元，此外还有大约18.37个imBTC被0x3195c3和0x17559a开头的两个套利者以较低的价格获取。 此次事件具体攻击方式为：黑客利用Uniswap和ERC777的兼容性问题，在进行ETH-imBTC交易时，利用ERC777中的多次迭代调用tokensToSend来实现重入攻击。这次攻击损失仅限于Uniswap上的ETH-imBTC 流动池，其他DeFi协议及BTC托管均未受影响。PeckShield 认为，自从年初的bZx攻击事件开始，这又是一起黑客利用DeFi系统性风控漏洞实施的攻击。目前Tokenlon已全面恢复imBTC合约转账及交易功能，不过在此期间建议用户先暂停使用Uniswap的ETH-imBTC流动池。

星球日报讯 慢雾安全团队刚刚发现Lendf.me遭遇攻击，目前站点已经关闭。慢雾安全团队分析发现与昨日攻击Uniswap手法类似，极有可能是同一伙人所为。慢雾安全团队正在紧张跟进分析中，后续将输出详细细节信息。

DeFi贷款协议Lendf.Me证实在北京时间8点45分、区块高度9899681遭受攻击，目前技术团队已经定位问题，并在网页端建议所有用户停止往借贷协议存入资产。DeFi Pulse的数据显示，锁仓资产在几个小时内跌落57%。目前平台上多个资金的利用率已经高达99%，imBTC的资金利用率则为100%。链上数据显示，攻击者已将资产转入Compound和Aave这两个平台。慢雾安全团队分析发现与昨日攻击Uniswap手法类似，极有可能是同一伙人所为。（链闻）

星球日报讯 据慢雾科技反洗钱（AML）系统监测显示，Lendf.Me攻击者正持续不断将攻击获利的PAX转出兑换ETH，总额近58.7万枚PAX，使用的兑换平台包括1inch.exchange、ParaSwap等。攻击者地址为0xa9bf70a420d364e923c74448d9d817d3f2a77822。慢雾安全团队在此提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。

星球日报讯 DeFi贷款协议Lendf.Me今日遭受攻击，DeFi Pulse数据显示，过去24小时内，dForce锁仓资产美元价值下跌100%至6美元，而此前的锁仓总价值超过2490万美元。 据此前报道，Lendf.Me证实在北京时间8点45分、区块高度9899681遭受攻击，目前技术团队已经定位问题，并在网页端建议所有用户停止往借贷协议存入资产。慢雾安全团队分析发现与昨日攻击Uniswap手法类似，极有可能是同一伙人所为。Lendf.Me攻击者正持续不断将攻击获利的PAX转出兑换ETH，总额近58.7万枚PAX，使用的兑换平台包括1inch.exchange、ParaSwap等。（The Block）

星球日报讯 据慢雾科技反洗钱（AML）系统统计显示，根据攻击者部署的攻击合约（0x538359785a……759D91D）从Lendf.Me得到的资产统计来看，累计的损失约24696616美元，具体盗取的币种及数额为： WETH：55159.02134； WBTC：9.01152； CHAI：77930.93433； HBTC：320.27714； HUSD：432162.90569； BUSD：480787.88767； PAX：587014.60367； TUSD：459794.38763； USDC：698916.40348； USDT：7180525.081569999； USDx：510868.16067； imBTC：291.3471。 之后攻击者不断通过1inch.exchange、ParaSwap、Tokenlon等DEX平台将盗取的币兑换成ETH及其他代币。

星球日报讯 慢雾安全团队发文跟进“DeFi平台Lendf.Me被黑”一事的具体原因及防御建议。文章分析称，通过将交易放在bloxy.info上查看完整交易流程，可发现攻击者对Lendf.Me进行了两次“supply()”函数的调用，但是这两次调用都是独立的，并不是在前一笔“supply()”函数中再次调用“supply()”函数。紧接着，在第二次“supply()”函数的调用过程中，攻击者在他自己的合约中对Lendf.Me的“withdraw()”函数发起调用，最终提现。 慢雾安全团队表示，不难分析出，攻击者的“withdraw()”调用是发生在transferFrom函数中，也就是在Lendf.Me通过transferFrom调用用户的“tokensToSend()”钩子函数的时候调用的。很明显，攻击者通过“supply()”函数重入了Lendf.Me合约，造成了重入攻击。

星球日报讯 慢雾安全团队从链上数据监测到，Lendf.Me攻击者（0xa9bf70a420d364e923c74448d9d817d3f2a77822）刚刚向Lendf.Me平台admin账户（0xa6a6783828ab3e4a9db54302bc01c4ca73f17efb）转账126014枚PAX，并附言"Better future"。随后Lendf.Me平台admin账户通过memo回复攻击者并带上联系邮箱。 此外，Lendf.Me攻击者钱包地址还收到了一些受害用户的memo求助。

昨日，dForce旗下DeFi贷款协议Lendf.Me遭遇黑客攻击。dForce创始人杨民道凌晨于Medium发文表示，黑客利用ERC 777与DeFi智能合约的兼容问题实现重入攻击，Lendf.Me损失了大约2500万美元。目前，团队正在开展如下行动：1.已与顶级安全公司联系，对Lendf.Me进行更全面的安全评估；2.与合作伙伴一起制定一项解决方案，对该系统进行资本重组，虽然遭受了这次的袭击，但我们不会停止脚步；3.正与主流交易所、OTC 平台以及相关执法部门合作，调查情况，阻止被盗资金的转移，并追踪黑客。另外，我们会在北京时间4月20日晚上11:59在我们的博客上提供更详细的更新。

链上信息显示，借贷平台Lendf.Me的攻击者在凌晨3点左右，向借贷平台Lendf.Me的admin账户转回了38万枚HUSD和320枚HBTC。更早之前，慢雾团队曾监测到，攻击者向Lendf.Me平台admin账户转回12.6万枚PAX，并附言“Better future”。

星球日报讯 近日频发黑客利用某些DeFi项目与ERC777兼容性问题实施攻击的事件，据慢雾区情报，慢雾安全团队分析发现知名Pooltogether也是采用ERC777标准实现，请各大项目方和DeFi用户提高警惕，做好相应的防护措施，及时排查代码中是否存在相应的重入风险，在需要时可联系慢雾安全团队协助。

星球日报讯 dForce创始人杨民道昨夜23:59如期于Medium发文更新“Lendf.Me被黑”一事的处理进展。杨民道表示：“在过去的24小时里，我们一直在不停地工作。我将在以后的帖子中详细介绍我们采取的所有行动。然而，此时的局势仍在迅速演变，我需要集中精力去处理那些可能扭转结局的紧迫问题。” 此外，杨民道还承诺将在24小时后再次发文更新事态进展，具体时间为北京时间4月21日23:59。

dForce官方今日发布消息称在Telegram群发现“钓鱼网站”，有不法人士模仿Lendf.Me网站页面并更改域名，告知用户他们可以协助找回资金，要求用户先对他们的地址转账。dForce团队提醒用户注意不要轻信假信息，团队不会向用户索要资金。 dForce团队表示正积极处理这次事件，所有信息以dForce官方号为准。

链上数据显示，黑客已向Lendf.Me地址归还57992个ETH，折合约1000万美元。交易记录为0xb572559590934f613e3b2a33ab7f555ef090b3bc3172832f0dae9e80e0e944a8。

星球日报讯 链上数据显示，黑客正在向Lendf.Me地址归还大量代币，包括664万枚USDT、74.8万枚USDC、13.7万枚DAI、425枚MKR、50万枚USDT（第二次）、252枚imBTC、9枚WBTC、45.8万枚TUSD、29469枚CHAI、43万枚BUSD、39968枚KNC、110383枚BAT、5178枚LINK、38180枚LEND、1817枚HT。 截至发文，尚不确定黑客是否将继续还币（已停止5分钟），但按当前价格计算，Lendf.Me被盗资产几乎已全部追回。

Lendf.Me团队在推特上表示，即将把追回的被盗资产从Lendf.Me Admin转移到新地址，以便进行未来的资产返还。 此前消息，黑客在盗取了Lendf.Me平台价值约2500万美元的加密资产后，已于今日陆续将资产归还。

星球日报讯 dForce创始人杨民道发文跟进Lendf.Me资产被盗一事：截止于4月21日下午14点41分，我们已在各方协助下陆续追回被盗资产，然而，由于部分资产在被盗过程中被转换成了其它代币，我们需要更多的时间来进行资产核算，并制定接下来的分配方案，希望大家理解并耐心等待。 接下来，我们将采取下面的行动方案： 1. 由于Lendf.Me的现有合约已数据污染，将被永久关闭，新产品将启用新合约。为了配合资产返还工作，我们将于近期建立一个对外开放的资产登记系统，以便用户能够通过Metamask和钱包地址登录，查看4月19日黑客攻击发生之前自己账户里的余额及利息。该网站也将被用来进行用户投票和资产分配。 2. 我们将于一周内公布资产返还的建议方案，届时用户将按照自己在Lendf.Me上的净资产获得相应比例的投票权，之后我们会部署一个资产返还的合约，用户可以通过合约进行资产返还的相关操作。 3. 如果资产分配的方案通过，我们将尽快开启并完成用户的资产分配工作。顺利完成本次意外事件的处理之后，择机部署并对外开放新的产品和协议。未来我们将更加谨慎地去评估每种接入dForce生态的数字资产。

星球日报讯 一名骗子（微信号：meguilitians）假冒多个dForce官方人员，向大家要取相关资料与信息。请注意dForce官方人员只有dForcebaobao向大家收集操作地址进行金额统计，并不会要求任何关于“私钥”以及“个人私密信息”。关于各位的资产返还流程，请等待官方公告，到时候每个人持有的“私钥”会是领取资产的唯一证明。 注意：1. 千万不要泄露任何“私钥”信息；2. 不要相信任何提供资产追回服务的第三方。