安全公司：AurumNodePool合约遭受漏洞攻击简析

金色财经报道，据区块链安全审计公司Beosin EagleEye监测显示，2022年11月23日，AurumNodePool合约遭受漏洞攻击。

Beosin分析发现由于漏洞合约的changeRewardPerNode函数未进行验证，导致攻击者可以调用该函数进行任意值设置。

攻击者首先调用changeRewardPerNode函数将每日奖励值设置成一个极大数，接下来调用claimNodeReward函数提取节点奖励，而节点奖励的计算取决于攻击者设置的rewardPerDay值，导致计算的节点奖励非常高。而在这一笔交易之前，攻击者便通过一笔交易(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)向合约存入了1000AUR，创建了攻击者的节点记录，从而使得攻击者能够提取出该节点奖励。最终攻击者通过该漏洞获得约50个BNB($14,538.04)。

安全公司：监测到针对macOS系统的新型加密劫持恶意软件:金色财经报道，据Apple Insider 2月23日发布的一份报告，在macOS上发现了一种新的加密劫持恶意软件。该恶意软件似乎是通过盗版的电影剪辑包Final Cut Pro传播的。

苹果生态系统的网络安全公司Jamf Threat Labs首先发现了这种恶意软件。过去几个月，它一直在追踪最近重新出现的恶意软件变种。2018年，苹果的操作系统也遭遇了类似的加密劫持恶意软件。

安装后，该恶意软件会使用受感染的Mac秘密进行加密货币挖矿，还可以逃避检测。Apple Mac有一个“活动监视器”，用户可以打开它查看正在运行的程序。当此工具被激活以避免检测时，恶意软件会停止运行。[2023/2/24 12:27:01]

安全公司Zellic发现WETH中一个轻微且无害的错误:11月19日消息，安全公司Zellic研究发现了WETH中一个轻微且无害的错误，由于不考虑SELFDESTRUCT/coinbase eth传输，通过SELFDESTRUCT（自毁）函数将ETH注入WETH合约中，会增加合约中的ETH余额，但不会铸造任何新Token，使得WETH合约中totalSupply函数变量不同步，即WETH Token的总量是小于或等于WETH中的原生ETH余额。

目前在整个以太坊主网上，WETH已参与超过1.25亿笔交易，有超过7%的以太坊交易涉及WETH；此外，在过去一年中，在4.2亿次以太坊交易中，其中的11.5%涉及WETH。[2022/11/20 22:07:49]

安全公司：AWS客户需警惕门罗币恶意挖矿软件攻击:以色列网络安全公司Mitiga建议运行某些程序的亚马逊网络服务（Amazon Web Services）的所有客户检查自己是否受到了门罗币挖矿软件的恶意感染。在今天的一份报告中，Migita称任何运行基于Community AMIs（Amazon Machine Images）的EC2实例的用户都容易受到该加密挖矿软件的攻击。据悉，Migita是在检查一家金融机构的软件系统时发现了该恶意软件。（Decrypt）[2020/8/22]

相关资讯