Populære emner
#
Bonk Eco continues to show strength amid $USELESS rally
#
Pump.fun to raise $1B token sale, traders speculating on airdrop
#
Boop.Fun leading the way with a new launchpad on Solana.
Defimon Alerts
Sanntids sikkerhetsvarsler for DeFi
🚨 V4 Swap Router av z0r0z - Tap $42,6K (2026-03-03)
Type: ABI-koding / autorisasjonsomgåelse
Swap(bytes,uint256)-funksjonen i UniswapV4Router04 bruker inline assembly med en hardkodet calldata-offset (calldataload(164)) for å verifisere at betaleren i swap-dataene er lik msg.sender. Dette forutsetter standard ABI-koding hvor byte-parameterforskyvningen alltid er 0x40. En angriper laget ikke-standard (men gyldig) ABI-kodede anropsdata med byte-offset satt til 0xc0, og plasserte sin egen adresse på posisjon 164 for å bestå autorisasjonssjekken, mens de faktiske dekodede bytedataene inneholdt offerets adresse som betaler. Dette gjorde det mulig for angriperen å tømme 42 607 USDC fra en offerlommebok (en EIP-7702 delegert EOA) som hadde godkjent ruteren, og bytte den til 21,2 ETH via Uniswap V4s ETH/USDC-pool.
TX:
Offer:
Ruter:
Vi har kontaktet @z0r0zzz, men kontrakten kan ikke oppgraderes og kan ikke pauses. Trekk tilbake godkjenninger til UniswapV4Router04!
142
Etter å ha reddet @Veildotcash gjorde vi det samme for @FOOMCASH med nøyaktig samme ZK-sårbarhet. Rundt 1,1 millioner dollar i FOOM-tokens ble hentet tilbake av oss fra FoomLottery-kontrakten på Ethereum og returnert til prosjektet før ondsinnede aktører kunne utnytte feilen.
28. feb. 2026
De to første kjente utnyttelsene mot levende ZK-kretser skjedde nettopp, og de var ikke subtile, underbegrensede feil.
De var Groth16-verifikatorer utplassert uten å fullføre den pålitelige oppsettsseremonien. Den ene var white-hat reddet for ~1,5 millioner dollar, den andre tappet for 5 ETH.
🧵
258
Den 30. januar ble @GyroStable utnyttet for rundt 300,2 ETH (~$696k)
En hacker utnyttet en vilkårlig anropssårbarhet i _ccipReceive()-funksjonen til GydL1CCIPEscrow-kontrakten. Den tillater at mottakerfeltet i CCIP-meldingen kan være hvilken som helst adresse, inkludert selve GYD-tokenkontrakten. Å sette mottaker = GYD og data = godkjenning (angriper, maks) ga effektivt angriperen full tillatelse til escrowens GYD-beholdninger.
221
Topp
Rangering
Favoritter