获利

CoinVoice最新获悉：2021 年 9 月 12 日，Avalanche 上 Zabu Finance 项目遭受闪电贷攻击，慢雾安全团队针对此过程进行分析，具体攻击步骤如下：

1. 攻击者首先创建两个攻击合约，随后通过攻击合约 1 在 Pangolin 将 WAVAX 兑换成 SPORE 代币，并将获得的 SPORE 代币抵押至 ZABUFarm 合约中，为后续获取 ZABU 代币奖励做准备；
2. 攻击者通过攻击合约 2 从 Pangolin 闪电贷借出 SPORE 代币，随后开始不断的使用 SPORE 代币在 ZABUFarm 合约中进行「抵押 / 提现」操作。由于 SPORE 代币在转账过程中需要收取一定的手续费 (SPORE 合约收取)，而 ZABUFarm 合约实际接收到的 SPORE 代币数量是小于攻击者传入的抵押数量的。分析中慢雾注意到 ZABUFarm 合约在用户抵押时会直接记录用户传入的抵押数量，而不是记录合约实际收到的代币数量，但 ZABUFarm 合约在用户提现时允许用户全部提取用户抵押时合约记录的抵押数量。这就导致了攻击者在抵押时 ZABUFarm 合约实际接收到的 SPORE 代币数量小于攻击者在提现时 ZABUFarm 合约转出给攻击者的代币数量；
3. 攻击者正是利用了 ZABUFarm 合约与 SPORE 代币兼容性问题导致的记账缺陷，从而不断通过「抵押 / 提现」操作将 ZABUFarm 合约中的 SPORE 资金消耗至一个极低的数值。而 ZABUFarm 合约的抵押奖励正是通过累积的区块奖励除合约中抵押的 SPORE 代币总量参与计算的，因此当 ZABUFarm 合约中的 SPORE 代币总量降低到一个极低的数值时无疑会计算出一个极大的奖励数值；
4. 攻击者通过先前已在 ZABUFarm 中有进行抵押的攻击合约 1 获取了大量的 ZABU 代币奖励，随后便对 ZABU 代币进行了抛售；

此次攻击是由于 Zabu Finance 的抵押模型与 SPORE 代币不兼容导致的，此类问题导致的攻击已经发生的多起，慢雾安全团队建议项目抵押模型在对接通缩型代币时应记录用户在转账前后合约实际的代币变化，而不是依赖于用户传入的抵押代币数量。

参考：
攻击合约 1：0x0e65Fb2c02C72E9a2e32Cc42837df7E46219F400
攻击合约 2：0x5c9AD7b877F06e751Ee006A3F27546757BBE53Dd
抵押交易：0xf76b37ed46c218d4b791e9769b139c3e1f43d1888f37ff0a647c7a8bb58528fb
攻击交易：0x0d65ce5c7a0c072b14ec5da08488d07778f334a7ddb6b7a30df97f274f3e1eb3
获利交易：0x8b3042e55a63f39bb388240a089cf4d51e59abe7cb0bff303c6dbb19eaeb75ac

CoinVoice最新获悉：据慢雾区情报，DAO Maker 的 Vesting 合约遭到黑客攻击。DeRace Token （DERC）、Coinspaid （CPD）、Capsule Coin （CAPS）、Showcase Token （SHO）都使用了 Dao Maker 的分发系统，在 DAO Maker 中进行持有者发行（SHO）时因 DAO Maker 合约被攻击，即 SHO 参与者的分发系统中出现了一个漏洞：init 未初始化保护，攻击者初始化了 init 的关键参数，同时变更了 owner，然后通过 emergencyExit 将目标代币盗走，并兑换成了 DAI，攻击者最终获利近 400 万美元。

黑客利用 Vesting 合约中的漏洞，将 Vesting 合约中的代币提走，如下是简要分析：
对 Vesting 合约的实现合约 0xf17ca0e0f24a5fa27944275fa0cedec24fbf8ee2 进行反编译得到如下信息：

1. Vesting 合约中的 init 函数 (函数签名：0x84304ad7)，没有对调用者进行鉴权，黑客通过执行 init 函数成为 Vesting 合约的 Owner。
2. Owner 可以执行 Vesting 合约中的 emergencyExit 函数，进行紧急提款。

CoinVoice最新获悉：区块链安全团队慢雾表示，经链上信息分析，目前已知一个 Neko Network 攻击者地址获得 200 万 USDT、39 万 BUSD 和 1 BTCB，攻击者已经利用 Pancake 将盗取资产换得 6390 枚 BNB，其中 2871 枚 BNB （约合 112 万美元）退还给 Neko Network 团队地址。扣除退回的资金，黑客获利 3519 枚 BNB。黑客持续以一次 100 枚 BNB 的规模转至 Tornado Cash 混币。截止发稿时，黑客地址还剩 2020 枚 BNB。

此外，慢雾团队还发现了另外两个不同的攻击地址，将获利的 72 万美元资产退还给了项目方。

早先报道，币安智能链（BSC）上借贷协议 Neko Network 遭受攻击，攻击者利用协议漏洞以用户名义抵押资产，并将借得资金直接发送至攻击者自己的地址，Neko Network 所有资产池已冻结以避免更多攻击发生，由于时间锁的设定，需等待 24 小时才能开发资金池，让用户提出池内资金。Neko Network 是由零息货币市场协议 Maze Protocol 团队开发的产品。

CoinVoice最新获悉：美国证券交易委员会（SEC）指控 DeFi 货币市场 DMM 运营公司及其两名高管通过欺诈性发行证券筹集了 3000 万美元，并在运营和盈利能力方面误导了投资者。SEC 称，据调查显示，Gregory Keough、Derek Acree 及其公司 Blockchain Credit Partners 在 2020 年 2 月至 2021 年 2 月期间通过 DeFi Money Market （DMM） 提供和出售未注册发行的证券，包括可以使用指定的数字资产购买并支付 6.25% 利息的 mToken，以及据称赋予持有者某些投票权、超额利润份额以及可在二级市场中买卖而获利的治理代币 DMG。DMM 声称其通过投资者投入的资金买入了能产生实际收入的现实世界资产，例如车贷。但实际上 DMM 并未购买相关资产，而是通过其个人资金和控制的另一家公司为 mToken 持有者对付本息。

SEC 表示，目前 DMM 已同意交出 Gregory Keough 与 Derek Acree 近 1285 万美元的个人非法所得并支付 12.5 万美元的罚款，此外，DMM 将为智能合约提供资金使 mToken 持有者可以拿回投资款的本金和利息。

此前报道，今年 2 月初，DeFi 货币市场协议 DMM 宣布因监管部门的要求，已停止运营，不再提供新业务。

来源链接

CoinVoice最新获悉：据 BlockSec 安全团队统计，今日发生的跨链收益率提升平台 Popsicle Finance 被黑客攻击事件中，攻击者共计获利超 2000 万美元，其中包括 2560 WETH、96.2 WBTC、16 万 DAI、539 万 USDC、498 万 USDT、1.05 万 UNI，攻击者在获利后将全部资产转成 ETH，并拆分成小额用 Tornado Cash 实施分散洗钱。此前 Popsicle Finance 团队成员表示，将在几周内修复漏洞并对用户损失进行赔偿。

CoinVoice最新获悉: DeRace原生代币$DERC将于8月3号北京时间晚上8点在Gate Exchange、Uniswap和PancakeSwap公开发售。

DeRace是一个基于区块链的NFT赛马生态系统，玩家可以参加赛马比赛，培育具有独特特征的NFT赛马，在自己的赛马场中举办比赛并获利。
 

CoinVoice最新获悉：特斯拉二季度财报显示，第二季度特斯拉未出售或新购买比特币。而根据一般公认会计原则（GAAP），比特币的价值以该季度比特币的最低价格入账，则目前特斯拉持有的比特币价值为 13 亿美元，相比一季度资产减值了 2300 万美元。

此前报道，特斯拉在一季度提交给监管机构的文档中显示已购买了总共约 15 亿美元的比特币，4 月份特斯拉又宣布一季度出售了价值 2.72 亿美元的比特币（占当时持仓量的 10％）并从中获利 1.01 亿美元。

来源链接

CoinVoice最新获悉：DeFi 项目 array finance 在推特证实其遭到了闪电贷攻击，攻击者通过 Aave 闪电贷借出贷款并对 array finance 进行了攻击，本次攻击共获利约 51.5 万美元。array finance 团队认为是团队成员 Gismar 的疏忽导致了此次闪电贷攻击，或就是其个人所为，目前团队已将 Gismar 除名。array finance 团队表示，之后将用剩余资金聘请 Solidity 开发人员，然后寻找第三方借款 70 万美元以补充流动性并采取法律行动追究相关责任。此外，array finance 团队还表示将发起投票以决定是否继续进行该项目。

来源链接

CoinVoice最新获悉：DeFi 收益聚合器 PancakeBunny 发布攻击报告与补充计划，将向 polyBUNNY 持有者分发总计 240 万美元 MND 代币作为补偿。PancakeBunny 表示，将验证在区块高度 16933434 时，持有 polyBUNNY 的所有钱包地址，补偿在被攻击时持有 polyBUNNY 的所有用户。PancakeBunny 团队将向 polyBUNNY 持有者分发总计 240 万美元 MND 代币作为总补偿，大致相当于攻击者偿还贷款后的获利金额。

曾于昨日报道，DeFi 收益聚合器 PancakeBunny 在 Polygon 上的版本遭外部攻击。另外，PancakeBunny 在币安智能链上的版本在 5 月也曾遭受闪电贷攻击。

来源链接

CoinVoice最新获悉：据 Bitcoin News 报道，YouTube 超级明星和说唱歌手 KSI 在比特币投资中先赚取后又失去百万美元。KSI 称，他在比特币上投入 200 万英镑（275 万美元），曾获利 700 万英镑，但在市场「崩溃」时「失去了一切」。KSI 还表示，他仍然相信比特币是未来，「最终你会得到 10 万美元的比特币、 50 万美元的比特币和 100 万美元的比特币」，并将继续投资比特币。

KSI 本名 Olajide Olayinka Williams Olatunji，又名 JJ。2019 年，他在《星期日泰晤士报》的英国影响者 100 强名单中排名第二。他还是英国 YouTube 团体 Sidemen 的成员。

来源链接

CoinVoice最新获悉：NFT赛马平台DeRace官方今日宣布完成170万美元的私募轮融资，本轮融资由DAO Maker、Animoca Brands领投，LD Capital, Au21, CMS, AC Capital, X21, Dweb3, Hillrise Ventures, Kyros Ventures, MNGR, , Wings Ventures, ReBlock, Raptor Capital 和 Evangelion Capital参投。
 

DeRace是一个基于区块链的NFT赛马生态系统，玩家可以参加赛马比赛，培育具有独特特征的NFT赛马，在自己的赛马场中举办比赛并获利。（来源：Medium）

CoinVoice最新获悉：PeckShield 派盾预警显示，Heco 链上跨链去中心化交易所 DDEX 上 XDX Swap 遭到攻击，攻击者获利 85.17 ETH （约 17.6 万美元）并将其全部跨链至以太坊。此后，PeckShield 在推特上表示，DDEX 代码疑似存在后门。

来源链接

CoinVoice最新获悉：据欧科链讯的消息，赵东等人涉嫌帮信罪，及多人涉嫌非法经营案庭审结束。庭前，赵东已认罪认罚，认罚量刑为 2 年并处罚金、可适用缓刑。据公诉人所述，赵东团队为「天天向上」平台部分资金提供虚拟货币场外兑换业务，可查实的所涉交易达两千余万元，按持股比例 70% 分配收益，赵东获利三万余元。

庭审期间，赵鹏坚称无罪，公诉人对赵东团队赵鹏和周光楷所定量刑为 1 年 6 个月并处罚金，被指获利均约五千元。其中，周光楷认罪认罚适用缓刑。另一 OTC 人士余晓菡在庭审期间坚称无罪，未对 1 年 6 个月的量刑进行认罪认罚。庭审阶段，公诉人提出，「天天向上」平台涉案金额 31 亿，数额待法院调查。

据警方调查，「天天向上」平台成立于 2019 年初，以境外不法人员华某为首搭建了四方支付跑分平台，上游涉赌博等黑灰产。部分资金通过虚拟货币 OTC 业务先后兑换为虚拟货币及法币。警方于 2020 年 5 月 27 日对涉案人员进行收网，抓获该平台在境内的技术团队与代理商等相关人员。赵鹏和赵东先后于 2020 年 6 月投案被捕，距今已一年。根据量刑建议，刑拘时长已过半。对于是否采纳量刑建议，待杭州市西湖法院择期宣布审判结果。

来源链接

CoinVoice最新获悉：据 PeckShield 派盾监测，Impossible Finance 攻击者利用 Eleven Finance 的逻辑漏洞再次对 DeFi 协议 Eleven Finance 进行闪电贷攻击。

此前报道，6 月 21 日，币安智能链上 DeFi 协议 Impossible Finance 遭到闪电贷攻击，攻击者获利 1510.75 WBNB （合计 49.7 万美元）。

来源链接

CoinVoice最新获悉：币安智能链（BSC）上 DeFi 协议 Impossible Finance 针对昨日发生的攻击事件发文称，其 v2 swap 遭到了闪电贷和恶意的 ERC20 代币攻击。Impossible 表示在 UTC 时间 2021 年 6 月 21 日 4:40 攻击之前，将资金存入非稳定币对（例如 IF/BUSD、IF/BNB）的流动性池（LP）的所有用户将获得 100% 的损失赔偿，并将在未来几天发布有关确切补偿计划的更多详细信息。另外，Impossible Finance 为防止再次发生此类攻击，计划修复此漏洞并重新部署交易，4 个修复程序包括添加代币的白名单功能、在货币对层面的交换功能中添加「onlyIFRouter」修改器、在货币对层面增加 K 值检查、增加全局暂停交易的功能，以备预先识别可疑的攻击载体。

此前报道，PeckShield 派盾预警显示，BSC 链上 DeFi 协议 Impossible Finance 遭到闪电贷攻击，攻击者获利 1510.75 WBNB （合计 49.7 万美元）。

来源链接

CoinVoice最新获悉：据彭博社报道，房地产亿万富翁、洛杉矶棒球队道奇队前老板 Frank McCourt 将投资 1 亿美元，用于「自由计划」（Project Liberty）项目，该项目计划使用区块链来构建一个新的互联网基础设施，即去中心化社交网络协议（DSNP） 。不同于 Facebook 对拥有的用户社交数据的独有控制，DSNP 鼓励采取更加平等的做法，让传统社交媒体公司从共享的社交数据中获利，并允许用户在不同社交媒体之间移动他们的社交数据，从而成为新型互联网基础设施。

来源链接

CoinVoice最新获悉：NFT 游戏 Yield Guild Games （YGG）完成 400 万美元 A 轮融资，BITKRAFT Ventures 领投，A.Capital Ventures、IDEO CoLab、Mechanism Capital、ParaFi Capital、Animoca Brands、Ascensive Assets、SevenX Ventures 等参投。Yield Guild Games 联合创始人 Gabby Dizon 表示，资金将用于购买额外的 NFT 并支持更多的游戏。

YGG 主要帮助投资者汇聚资产并投注 NFT 获利，最终与支持者共享收益，目前 YGG 主要专注于游戏 NFT 领域。

来源链接

CoinVoice最新获悉：纽约州最高法院法官 Andrew Borrok 指派 Crowell & Moring 区块链和数字资产全球负责人 Michelle Gitlitz 接管未注册的加密投资应用程序 Coinseed，并可能要求其停止运营。法官表示，因为该应用程序取消了客户对其账户的访问并减少了他们持有的价值。未经法院许可，Gitlitz 不得聘请外部律师、会计师、评估师或其他服务提供商。

纽约总检察长 Letitia James 曾于 5 月 6 日向法院提出要求冻结 Coinseed 的交易活动并停止所有运营。纽约总检察长办公室曾于 2 月首次指控 Coinseed 及其高层管理人员存在欺诈行为，并明确表示有意关闭该平台。它声称 Coinseed 非法交易了比特币和其他加密货币，而未在该州注册为经纪交易商。它还指控该公司通过隐性收费获利。

来源链接

CoinVoice最新获悉：去中心化衍生品交易协议 Deri Protocol 团队发现交易异常地址，经调查后确认该地址试图利用系统的预言机规则漏洞获利。目前团队已启用应急响应机制，暂停该可疑账户的一切操作，普通用户的操作暂时也会受到影响，但用资金仍然安全。

Deri protocol 官方表示，虽然 V2 版本不会有这个漏洞，但因为 V2 需要用户进行流动性迁移，团队决定待 V1 修复后再上线 V2。

CoinVoice最新获悉：据币安智能链上借贷协议 Venus 发布的大额清算事件的分析报告，此前发生的清算事件中没有特定的市场参与者从协议中窃取资金，主要原因为，Swipe OTC 系统被滥用，向 XVS 买方和 BTC 卖方下达了几个大的 OTC 订单。由于清算人，0xef044 开头的账户净损失达到 6600 万美元，此前，该账户从 1 月开始已积累 130 万枚 XVS，在本次事件中损失了全部资金。当时在现货市场的买入量约为 1.77 亿美元，卖方获利约 5500 万美元。之后，清算人通过利用闪电贷拿走抵押品，持续进行链上清算和套利，随后发生了更多的清算。

此外，Venus 表示，Venus Grants 计划（VGP）将拿出大约 120 万枚 XVS 到场外交易市场，并通过交易对手换成 BTC/ETH 并存回协议。这些 XVS 将在不少于 3 个月内逐步清算，以尽量减少对 XVS 持有者的影响。另外，Swipe 将和 Venus 的资源与团队完全隔离，并关闭旧的 OTC 业务，Venus 原有的团队和管理层也将重组。

来源链接

CoinVoice最新获悉：慢雾区针对币安智能链上 DeFi 项目 AutoShark Finance 被黑分析称，由于 AutoShark 策略池的机制，攻击者需要事先存入一定数量的 LP 代币到策略池中，为后续攻击做准备。整个攻击其实分成了 2 步，第 2 笔攻击交易的具体攻击步骤如下：

1. 攻击者从 Pancake 的 WBNB/BUSD 交易对中借出大量 WBNB；

2. 将第 1 步借出的全部 WBNB 中的一半通过 Panther 的 SHARK/WBNB 交易对兑换出大量的 SHARK，同时池中 WBNB 的数量增多；

3. 将第 1 步和第 2 步的 WBNB 和 SHARK 打入到 SharkMinter 中，为后续攻击做准备；

4. 调用 AutoShark 项目中的 WBNB/SHARK 策略池中的 getReward 函数，该函数会根据用户获利的资金从中抽出一部分手续费，作为贡献值给用户奖励 SHARK 代币，这部分操作在 SharkMinter 合约中进行操作；

5. SharkMinter 合约在收到用户收益的 LP 手续费之后，会将 LP 重新拆成对应的 WBNB 和 SHARK，重新加入到 Panther 的 WBNB/SHARK 交易池中；

6. 由于第 3 步攻击者已经事先将对应的代币打入到 SharkMinter 合约中，SharkMinter 合约在移除流动性后再添加流动性的时候，使用的是 SharkMinter 合约本身的 WBNB 和 SHARK 余额进行添加，这部分余额包含攻击者在第 3 步打入 SharkMinter 的余额，导致最后合约获取的添加流动性的余额是错误的，也就是说 SharkMinter 合约误以为攻击者打入了巨量的手续费到合约中；

7. SharkMinter 合约在获取到手续费的数量后，会通过 tvlInWBNB 函数计算这部分手续费的价值，然后根据手续费的价值铸币 SHARK 代币给用户。但是在计算 LP 价值的时候，使用的是 Panther WBNB/SHARK 池的 WBNB 实时数量除以 LP 总量来计算 LP 能兑换多少 WBNB。但是由于在第 2 步中，Panther 池中 WBNB 的数量已经非常多，导致计算出来的 LP 的价值非常高；

8. 在 LP 价值错误和手续费获取数量错误的情况下，SharkMinter 合约最后在计算攻击者的贡献的时候计算出了一个非常大的值，导致 SharkMinter 合约给攻击者铸出了大量的 SHARK 代币；

9. 攻击者后续通过卖出 SHARK 代币来换出 WBNB，偿还闪电贷。然后获利离开。

10. 攻击者后续通过卖出 SHARK 代币来换出 WBNB，偿还闪电贷。然后获利离开。

来源链接

CoinVoice最新获悉：据 Coindesk 报道，链上期权协议 Opium Protocol 与去中心化合成资产协议 UMA 合作推出 Elon Musk 创立的空间运输服务公司 SpaceX 的航班保险产品。链上期权协议 Opium 将插入 UMA 的「乐观预言机」中，为对冲与 SpaceX 飞行有关的风险提供金融衍生品。这些衍生品以二元期权合约的形式运作，允许用户为 SpaceX 的发射失败购买保险。此外，SpaceX 的发射可能会引起一些爱好者猜测其成功与否，该保险产品可实现从预测中获利。

来源链接

CoinVoice最新获悉：据 Coindesk 报道，链上期权协议 Opium Protocol 与去中心化合成资产协议 UMA 合作推出 Elon Musk 创立的空间运输服务公司 SpaceX 飞行任务的保险产品。链上期权协议 Opium 将插入 UMA 的「乐观预言机」中，为对冲与 SpaceX 飞行有关的风险提供金融衍生品。这些衍生品以二元期权合约的形式运作，允许用户为 SpaceX 的发射失败购买保险。此外，SpaceX 的发射可能会引起一些爱好者猜测其成功与否，该保险产品可实现从预测中获利。

来源链接

CoinVoice最新获悉：据慢雾 MistTrack，自北京时间 5 月 20 日 10 时 55 分开始， PancakeBunny 事件的黑客获利地址（0x158C24...2C612f）通过 PancakeSwap 将获利资金 114,631 BNB 和 697,245 BUNNY 兑换为 ETH，再以跨链的方式转移到 ETH 地址 1 （0xa0ACC6...d7E187）和 ETH 地址 2 （0x158C24...2C612f）。今日慢雾 MistTrack 监测到地址 1 给地址 2 转入 16,500 ETH，地址 2 再通过 Sushiswap 等兑换平台将 ETH 兑换成 DAI 转回到地址 1。目前地址 1 余额 480 ETH 、近 4600 万 DAI；地址 2 暂无余额。慢雾安全团队在此提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。

CoinVoice最新获悉：据慢雾 MistTrack，自北京时间 5 月 16 日 19 时 20 分开始，初始黑客 BSC 地址 (地址 0xef39F1...0C3BE6) 将获利的近 1100 万 BUSD 连续转移至 12 个 BSC 地址。后使用 1inch 兑换为 renBTC 和 fUSDT，接着通过 burn renBTC 将近 171 BTC 跨链转移到 9 个 BTC 地址上，通过 burn fUSDT 将近 302 万 USDT 跨链转移到 3 个 ETH 地址上。目前被盗资金分散在 12 个 BTC、ETH 地址上，未发生进一步转移。慢雾安全团队在此提醒交易所、钱包注意加强地址监控，避免相关恶意资金流入平台。