BlockThreat - 2026年第4周

本周加密领域发生多起安全事件，损失超过2800万美元，攻击手段包括任意外部调用漏洞和无限铸币漏洞。文章列举了HypuurFi、SwapNet和Aperture Finance等受害者，并深入探讨了漏洞原理和防范措施，例如，建议开发者将所有用户输入视为恶意并进行严格的约束检查。此外，文章还报道了其他加密犯罪案件、政策动态以及安全工具。

SagaEVM | Makina | Cosmos | SwapNet | Aperture Finance | HypuurFi

本周发生了八起事件，超过 2800 万美元被盗。 从任意调用漏洞到无限铸币漏洞，对于区块链安全来说，这是特别糟糕的一周。 让我们来分析一下其中几个最值得关注的黑客事件。

HypuurFi、SwapNet 和 Aperture Finance 遭受了任意外部调用漏洞的攻击，一天之内用户损失了大约 1700 万美元。 值得注意的是，后两者没有源代码，并在部署后不久就被利用。 我们早就观察到，攻击者在使用链上漏洞扫描器方面变得越来越老练。 现在，我们看到他们不仅可以检测原始 EVM 代码中的错误，还可以耐心地等待最有利的时机进行攻击，正如我在最近关于 watering hole contracts 的 DSS 演讲中所讨论的那样。

如果你不熟悉这种攻击方式，以下是来自有漏洞的 HypuurFi 合约 的代码片段：

function swapAndDeposit(
    address swapRouter,      // 任意调用地址
    bytes calldata swapData, // 恶意输入
    address vault,
    address tokenIn,
    uint256 amountIn,
    address tokenOut,
    address receiver
) public payable {
    // 执行兑换（代币进入网关）
    if (!_isNativeToken(tokenIn)) {
        IERC20(tokenIn).safeTransferFrom(msg.sender, address(this), amountIn);
        IERC20(tokenIn).safeIncreaseAllowance(swapRouter, amountIn);
    }

    // 漏洞：      v----- 受污染的用户输入  ----v
    (bool success,) = swapRouter.call{value: msg.value}(swapData);
    require(success, "Swap failed");

    // 存入兑换后的代币
    uint256 balance = IERC20(tokenOut).balanceOf(address(this));
    _deposit(vault, tokenOut, balance, receiver);
}

开发人员发现此类错误的最简单方法是将所有用户输入都视为恶意的，并且永远不要在没有任何约束的情况下将其传递给 call() 或等效函数。

很难责怪用户遭受这种攻击，因为他们完全按照我们鼓励的方式使用 DeFi 协议，包括无限额度授权，而没有任何撤销它们的机制。 也许应该由钱包站出来，帮助用户清理这些长期存在的授权，就像我们的密码管理器经常提醒我们更改被盗或弱密码一样。 同时，将 http://revoke.cash 添加到书签，并尝试每季度/每月访问一次。

我们有理由希望这些事件背后的攻击者最终会犯错并迅速受到惩罚。 这迟早会发生在他们所有人身上。 与此同时，请查看本周的赞助商 Anchain.ai 及其背后的好人，他们正在努力追踪不良行为者，并帮助我们的生态系统对我们所有人来说更安全一些。

AI 原生的加密情报数据

AnChain.AI Data 提供机构级的加密货币数据 API 和 MCP，用于 AML、欺诈合规、增长分析等。

200 美元促销代码（截止日期：3 月 27 日）：AINATIVECRYPTODATA

https://www.anchain.ai/data

Cosmos 生态系统以一些最恶心的区块链级别错误而闻名，包括 infinite minting，reentrancy 等。 本周，SagaEVM 成为了此类关键漏洞的受害者。 攻击者利用无限铸币漏洞凭空生成资产，窃取了超过 700 万美元。 尽管该链已停止，但攻击者已将可用流动性桥接出去。

在其他新闻中，一家公司老板的儿子负责管理美国法警署没收的加密资产（包括来自 Bitfinex 黑客攻击的资产），但设法窃取了 4000 万美元。 ZachXBT 在 他泄露了他的钱包 在 Telegram 上之后，能够 锁定犯罪者。

让我们深入了解新闻！

新闻

犯罪

政策

网络钓鱼

恶意软件

媒体

研究

工具

喜欢阅读 BlockThreat？ 考虑赞助下一期 或 成为付费订阅者 以解锁高级版块，其中包含有关黑客攻击、漏洞、指标、特别报告和可搜索的新闻通讯存档的详细信息。

  • 原文链接： newsletter.blockthreat.i...
  • 登链社区 AI 助手，为大家转译优秀英文文章，如有翻译不通的地方，还请包涵～
点赞 0
收藏 0
分享
本文参与登链社区写作激励计划 ，好文好收益，欢迎正在阅读的你也加入。

0 条评论

请先 登录 后评论
BlockThreat
BlockThreat
区块链威胁情报是一份每周独立通讯，捕获加密货币领域的最新安全新闻，工具，事件，漏洞和威胁。

BlockThreat

如果觉得我的文章对您有用，请随意打赏。你的支持将鼓励我继续创作！