在本周的安全摘要中，DeFi 市场损失超过 6200 万美元。尤其重要的是Curve Finance 的重入攻击，该攻击引起了广泛关注，因为它造成的损失超过 5900 万美元，超过了 CoinsPaid 前一周遭受的损失。
🚨项目：Curve Finance
⛓️链：以太坊、BSC
💥类型：重入攻击
💸损失金额： $59,000,000
上周， Curve Finance遭受 5900 万美元的重入攻击，震惊了 DeFi 市场。攻击发生后，Verichains 安全研究人员迅速发表了一篇全面的文章，分析了攻击的根本原因。用于 Curve Pools 的 Vyper 编译器中存在一个漏洞，尽管有不可重入装饰器保护，但仍会导致重入攻击。这是由于 Vyper 版本 0.2.15 和 0.3.0 之间缺少检查，允许单独的重入锁插槽用于功能，并且无法防止攻击。
在这里阅读完整的文章： https ://blog.verichains.io/p/curve-pools-hack-59-million-lost
🚨项目： Metronome DAO
⛓️链：以太坊
💥类型：价格操纵
💸损失金额： $1,600,000
在上周的第二大攻击中，Metronome DAO 通过 Vyper 编程语言版本 0.2.15 的只读重入性遭受了 1,600,000 美元的攻击。通过在提款前反复调用“add_liquidity”函数，黑客成功地利用了货币对清算的不平衡性，从而从该漏洞中获利。由于受影响的 Vyper 版本中存在缺陷，这可能使黑客能够操纵系统以获取优势。
截至撰写本文时，该项目已收回大部分已动用资金，并计划收回更多资金。
🚨项目：未验证
⛓️链： Arbitrum
💥类型：价格操纵
💸损失金额： ~845,000 美元
一份未经验证的合约因闪电贷机制配置不足而被攻击，损失达 845,000 美元，导致攻击者可以在闪电贷偿还后提取代币。调用此函数的合约无法充分验证用户输入。此漏洞为潜在攻击者提供了制作欺骗性闪电贷合同并启动审批流程的机会，从而利用该系统。
🚨项目： Leet Swap
⛓️链条：底座
💥类型：价格操纵
💸损失金额： $620,000
LeetSwap是Coinbase L2上的一个DeFi项目，Base因Base链上的LeetSwapPairV2合约在其公共函数“_transferFeesSupportingTaxTokens()”中包含一个严重漏洞而遭受了62万美元的攻击。该漏洞使任何人都可以启动该功能，从而导致合约内的所有代币余额转移到指定的费用钱包中。这一行为导致合约内的流动性平衡被破坏。攻击者抓住机会，利用这种不平衡，通过交换小额代币，由于流动性结构受损而获得了可观的利润。
在最近的项目更新中，他们成功获得了 10% 的白帽费用，作为安全收回资金的补偿。
🚨项目： Uwerx
⛓️链：以太坊
💥类型：价格操纵
💸损失金额： $324,000
Uwerx DEX 中的 324,000 美元被盗。在这种情况下，当用户出售特定代币时，WERX 合约会对转账收取 2% 的费用并销毁 1%。但是，由于 uniswapPoolAddress 设置为 0x01 的问题，刻录过程失败。黑客利用这个缺陷，执行“skim()”函数，将代币转移到0x00这个死地址，从而导致Uniswap池的流动性失衡。
利用该漏洞，黑客执行了一系列步骤：首先，他们启动了 20,000 ETH的闪电贷，并将其兑换为 500 万个 WERX。随后，黑客将价值 440 万美元的 WERX 转移到Uniswap池中，然后执行撇油操作。随后，黑客将剩余的 623k WERX 代币交换到死亡地址 0x00。通过这些行动，黑客成功地从该漏洞中获利 174 ETH 。
