慢霧余弦：Trader Joe前端被篡改，合約地址被替換成釣魚地址

金色財經報道，DeFi協議Trader Joe表示，我們已收到關于前端界面中可能存在漏洞的警報。我們的團隊正在立即進行徹底調查。我們強烈建議所有用戶不要在 Trader Joe DEX 上進行交易和執行任何交易。團隊的初步分析發現，我們前端使用的第三方分析插件被黑客攻擊的JavaScript代碼存在潛在漏洞。我們已針對這一發現立即采取行動，代碼已被刪除，并且我們的主機保持安全，根本沒有其他集成。前端目前仍處于關閉狀態，

慢霧創始人余弦在X平臺發文稱，Trader Joe前端被篡改（當前已經打不開），合約地址被替換為了釣魚合約地址。

其它快訊：

慢霧：DOD合約中的BUSD代幣被非預期取出，主要是DOD低價情況下與合約鎖定的BUSD將產生套利空間:據慢霧區情報，2022 年 3 月 10 日, BSC 鏈上的 DOD 項目中鎖定的 BUSD 代幣被非預期的取出。慢霧安全團隊進行分析原因如下：

1. DOD 項目使用了一種特定的鎖倉機制，當 DOD 合約中 BUSD 數量大于 99,999,000 或 DOD 銷毀數量超過 99,999,000,000,000 或 DOD 總供應量低于 1,000,000,000 時將觸發 DOD 合約解鎖，若不滿足以上條件，DOD 合約也將在五年后自動解鎖。DOD 合約解鎖后的情況下，用戶向 DOD 合約中轉入指定數量的 DOD 代幣后將獲取該數量 1/10 的 BUSD 代幣，即轉入的 DOD 代幣數量越多獲得的 BUSD 也越多。

2. 但由于 DOD 代幣價格較低，惡意用戶使用了 2.8 個 BNB 即兌換出 99,990,000 個 DOD。

3. 隨后從各個池子中閃電貸借出大量的 BUSD 轉入 DOD 合約中，以滿足合約中 BUSD 數量大于 99,999,000 的解鎖條件。

4. 之后只需要調用 DOD 合約中的 swap 函數，將持有的 DOD 代幣轉入 DOD 合約中，既可取出 1/10 轉入數量的 BUSD 代幣。

5. 因此 DOD 合約中的 BUSD 代幣被非預期的取出。

本次 DOD 合約中的 BUSD 代幣被非預期取出的主要原因在于項目方并未考慮到 DOD 低價情況下與合約中鎖定的 BUSD 將產生套利空間。慢霧安全團隊建議在進行經濟模型設計時應充分考慮各方面因素帶來的影響。[3/10/2022 12:24:55 AM]

慢霧MistTrack：SafeDollar被盜25萬美元已轉入Tornado Cash，與PancakeBunny洗幣手法相似:據慢霧MistTrack監測，6月28日攻擊SafeDollar的黑客地址（0xFeDC24...Be7eBd）已將價值約25萬美元的USDT和USDC從Polygon跨鏈到ETH，接著先通過ParaSwap將資金兌換為DAI，后通過Uniswap將DAI兌換為近100 ETH，最終轉入Tornado Cash。該洗幣手法與此前PancakeBunny事件相似：PancakeBunny總共被黑損失約4600萬美金，攻擊者分批將約1600萬美金的DAI兌換成ETH，然后轉入Tornado Cash。[6/28/2021 5:29:45 PM]

分析 | 慢霧預警：ADX合約設計疑似存在“后門”風險:安全公司慢霧發布安全預警稱，ADX合約設計疑似存在“后門”風險。具體細節為：在合約中grantVestedTokens方法寫了轉賬是否可以允許被revoke ，可以在grants這個mapping中或者tokenGrant中查到用戶生成的這個TokenGrant到底允不允許revoke, 如果是允許revoke則要慎重，用戶可以通過revokeTokenGrant撤回，這樣holder就會受到損失，代幣可能會回到原本用戶的余額上或者 轉到0xdead, 這取決于burnsOnRevoke的值。

ADX項目業務設計比較特殊，如果在對接交易所的話，沒有說明對接的方式，以及一些特殊方法的調用和判斷，會造成交易所損失，請交易所注意對接時候相關細節處理。[5/10/2019 12:00:00 AM]