在本週的安全摘要中，DeFi 市場損失超過 6200 萬美元。尤其重要的是Curve Finance 的重入攻擊，該攻擊引起了廣泛關注，因為它造成的損失超過 5900 萬美元，超過了 CoinsPaid 前一周遭受的損失。
🚨項目：Curve Finance
⛓️鏈：以太坊、BSC
💥型別：重入攻擊
💸損失金額： $59,000,000
上週， Curve Finance遭受 5900 萬美元的重入攻擊，震驚了 DeFi 市場。攻擊發生後，Verichains 安全研究人員迅速發表了一篇全面的文章，分析了攻擊的根本原因。用於 Curve Pools 的 Vyper 編譯器中存在一個漏洞，儘管有不可重入裝飾器保護，但仍會導致重入攻擊。這是由於 Vyper 版本 0.2.15 和 0.3.0 之間缺少檢查，允許單獨的重入鎖插槽用於功能，並且無法防止攻擊。
在這裡閱讀完整的文章： https ://blog.verichains.io/p/curve-pools-hack-59-million-lost
🚨項目： Metronome DAO
⛓️鏈：以太坊
💥型別：價格操縱
💸損失金額： $1,600,000
在上週的第二大攻擊中，Metronome DAO 通過 Vyper 程式語言版本 0.2.15 的只讀重入性遭受了 1,600,000 美元的攻擊。通過在提款前反覆呼叫“add_liquidity”函式，黑客成功地利用了貨幣對清算的不平衡性，從而從該漏洞中獲利。由於受影響的 Vyper 版本中存在缺陷，這可能使黑客能夠操縱系統以獲取優勢。
截至撰寫本文時，該項目已收回大部分已動用資金，並計劃收回更多資金。
🚨項目：未驗證
⛓️鏈： Arbitrum
💥型別：價格操縱
💸損失金額： ~845,000 美元
一份未經驗證的合約因閃電貸機制配置不足而被攻擊，損失達 845,000 美元，導致攻擊者可以在閃電貸償還後提取代幣。呼叫此函式的合約無法充分驗證使用者輸入。此漏洞為潛在攻擊者提供了製作欺騙性閃電貸合同並啟動審批流程的機會，從而利用該系統。
🚨項目： Leet Swap
⛓️鏈條：底座
💥型別：價格操縱
💸損失金額： $620,000
LeetSwap是Coinbase L2上的一個DeFi項目，Base因Base鏈上的LeetSwapPairV2合約在其公共函式“_transferFeesSupportingTaxTokens()”中包含一個嚴重漏洞而遭受了62萬美元的攻擊。該漏洞使任何人都可以啟動該功能，從而導致合約內的所有代幣餘額轉移到指定的費用錢包中。這一行為導致合約內的流動性平衡被破壞。攻擊者抓住機會，利用這種不平衡，通過交換小額代幣，由於流動性結構受損而獲得了可觀的利潤。
在最近的項目更新中，他們成功獲得了 10% 的白帽費用，作為安全收回資金的補償。
🚨項目： Uwerx
⛓️鏈：以太坊
💥型別：價格操縱
💸損失金額： $324,000
Uwerx DEX 中的 324,000 美元被盜。在這種情況下，當使用者出售特定代幣時，WERX 合約會對轉賬收取 2% 的費用並銷燬 1%。但是，由於 uniswapPoolAddress 設定為 0x01 的問題，燒錄過程失敗。黑客利用這個缺陷，執行“skim()”函式，將代幣轉移到0x00這個死地址，從而導致Uniswap池的流動性失衡。
利用該漏洞，黑客執行了一系列步驟：首先，他們啟動了 20,000 ETH的閃電貸，並將其兌換為 500 萬個 WERX。隨後，黑客將價值 440 萬美元的 WERX 轉移到Uniswap池中，然後執行撇油操作。隨後，黑客將剩餘的 623k WERX 代幣交換到死亡地址 0x00。通過這些行動，黑客成功地從該漏洞中獲利 174 ETH 。
