安全审计

本文档详细介绍了 Wormhole 项目的安全计划，包括第三方安全审计、漏洞赏金计划、信任假设、白帽黑客活动、链集成商安全建议、社交媒体监控、事件响应以及紧急关闭策略。强调通过多方审计、激励漏洞报告、明确责任以及 Guardian 节点的监控来提升整体安全性。

北京时间2021年3月9日，DODO官方发推称DODO V2资金池wCRES/USDT遭到黑客攻击，已暂时禁用DODO上的资金池创建......

本文深入探讨了Solidity智能合约中的重入攻击，详细解释了重入攻击的机制、类型及防护策略，并提供了真实案例如DAO黑客事件和Curve Finance攻击的分析，强调了安全审计的重要性。

本次审核了across-protocol/contracts代码仓库，主要关注L3支持、ZkStack支持、可预测的中继哈希、支持最新版本的ERC-7683以及World Chain支持。发现了多个安全问题，包括缺少访问控制、错误的函数调用、不正确的ETH传输处理，以及潜在的重放攻击等。建议改进代码，增加测试，并确保代码符合最新的ERC-7683标准。

本文是对Across协议的Solidity合约进行的安全审计报告，重点关注了为支持Solana网络和ERC-7683订单所做的代码更改。审计发现了包括潜在的资金池耗尽漏洞、地址转换错误、重复代码、缺少单元测试等问题，并提出了修复建议。报告还包括对之前提交的PR的审查以及客户端报告的问题。

在过去的几年时间内，已有近百个知名公链项目通过慢雾的不同类型公链安全审计，例如：PlatON、BHD、Acala、Eden、Metis 等，通过在审计过程中的互动，开发团队更加系统地认识到公链安全体系的构建方法，增强了主网的安全性和健壮性，提高用户对项目的认可。

本文是对Across协议的智能合约进行安全审计的报告，重点关注为了集成Circle CCTP V2版本协议对合约所做的修改，以支持在以太坊和Linea区块链之间桥接USDC代币。审计发现了一些低风险问题，包括CCTP版本检查的可靠性问题和文档不足，并提出了相应的改进建议。总体而言，代码变更实现了使用CCTP协议的第二个版本将USDC桥接到Linea区块链的功能。

本次审计评估了Across协议的智能合约，包括移除白名单机制、引入通用适配器和SpokePool。审计发现了一些低风险问题，包括rootBundle可能被重复执行，以及Universal_SpokePool构造函数中未验证SOURCE_CHAIN_ID。同时，也提出了改进建议，例如添加安全联系方式、更正文档和变量名，以提高代码可读性和安全性。

此次攻击是由于EToken合约中donateToReserves函数缺失清算检查逻辑，攻击者能够恶意将借贷的资金处于清算状态下而不触发清算，使得攻击者能够无需向合约转移清算资金而触发清算从而获利。

北京时间2021年12月19日，Grim Finance官方发推文称平台被外部攻击者利用，攻击者盗币价值超过3000万美元

polygon链上去中心化借贷协议BONQ受到黑客攻击，攻击者获得了1.13亿个WALTB和9865万个BEUR

OpenZeppelin 对 Across Protocol 的 contracts-v2 代码仓库进行了安全评估，发现了多个问题，包括客户端报告的 refunds 处理不当、slow fill 潜在的支付不足以及 recipient/message 功能失效等问题。

本文作者分享了对一个 pump.fun 风格的代码库及其后端的审计经验。重点关注了后端代码的三个主要功能：从 bonding curve 中提取代币、创建 Raydium 池并迁移流动性、以及销毁剩余代币和灰尘代币。文中详细描述了在代币 decimal 处理、后端宕机处理和 JITO 捆绑交易处理中发现的几个关键问题，强调了对后端系统进行安全审计的重要性。

智能合约交易顺序依赖漏洞，欢迎一起学习！

北京时间 2022年5月18日 Binance 链上 Feminist Metaverse 智能合约遭到智能合约攻击。损失资金价值超过55万美元