Uniswap V3流動性管理協議Visor Finance再遭黑客攻擊，VISR暴跌近95%_BIT:SOR

12月22日，UniswapV3流動性管理協議VisorFinance再次遭受黑客攻擊，黑客借助漏洞提取了超過880萬個VISR并在Uniswap上賣出，導致VISR代幣暴跌近95%，通過TornadoCash進行洗幣后黑客獲利超過120枚ETH。

目前Visor官方表示將對攻擊前地址數據進行快照，進行VISR遷移和退還。新Token將會采用新的名稱替換舊的VISR名稱，Token經濟學保持不變，并且將使用新代幣以1:1的比例贖回，包括質押在vVISR合約中的代幣和質押在Tokemak中的Token。

Bybit CEO：會將大量解鎖BIT代幣轉移至Bybit Flexible地址:金色財經報道，Bybit CEO Ben發推表示，Bybit會將大量解鎖的BIT代幣從Bybit Locked地址轉移到Bybit Flexible地址。

據悉，這些代幣從2022年8月到2023年2月解鎖，其中1/24的Bybit鎖定代幣在每個月的15日解鎖。根據社區和分析平臺的建議，將按照歸屬時間表將它們轉移到他們的合法錢包中。[2023/2/17 12:13:56]

據慢霧安全團隊分析，VisorFinance項目遭受攻擊是由于RewardsHypervisor合約在對用戶充值進行權限檢查時存在缺陷，導致攻擊者可以構造惡意合約以進行任意鑄造抵押憑證。

Bitcoin Archive：Soneva現在馬爾代夫和泰國接受比特幣:金色財經報道，Bitcoin Archive發推稱，豪華度假村運營商Soneva在馬爾代夫和泰國接受比特幣。[2022/8/17 12:30:27]

具體分析內容如下：

1.用戶可以通過VisorFinance的RewardsHypervisor合約中的deposit函數進行VISR代幣抵押，其會先將用戶的VISR代幣轉進合約中，并鑄造對應的抵押憑證給用戶。若用戶在進行deposit操作時傳入的from地址是合約地址，那么其會先進行owner檢查再調用from合約的delegatedTransferERC20函數將VISR代幣轉入抵押合約中，但owner檢查卻檢查的是from合約的owner是否是調用者。因此攻擊者可以部署惡意合約使得惡意合約owner滿足此檢查，隨后就可以為任意地址鑄造抵押憑證。?

美國眾議院議員計劃下周公布穩定幣法案:金色財經消息，知情人士透露，美國眾議院金融服務委員會的民主黨人今天下午就即將出臺的穩定幣法案召開成員電話會議。他們似乎已與共和黨人就核心原則達成一致，但尚未形成文本。立法者計劃在7月27日（下周三）準備好并公開法案。（The Block）[2022/7/21 2:27:19]

2.攻擊者利用憑空鑄造的抵押憑證即可直接通過RewardsHypervisor合約的withdraw函數將合約中抵押的VISR取出。

因此，此次攻擊是由于RewardsHypervisor合約在對用戶充值進行權限檢查時存在缺陷，導致攻擊者可以構造惡意合約以進行任意鑄造抵押憑證。

參考交易：

https://etherscan.io/tx/0x69272d8c84d67d1da2f6425b339192fa472898dce936f24818fda415c1c1ff3f

https://etherscan.io/tx/0x6eabef1bf310a1361041d97897c192581cd9870f6a39040cd24d7

Tags：BITVISRISRSORBitTubeVISR價格ISR幣Philosoraptor

加密貨幣