慢霧：Ledger Connect Kit事件始作俑者使用智能合約來管理惡意JS文件的訪問域名

金色財經報道，慢霧安全團隊在對 Ledger Connect Kit 供應鏈攻擊事件進行了深入分析，發現這次攻擊事件是由知名的 Angel Drainer 釣魚團伙發起的，并且 Angel Drainer 釣魚團伙使用智能合約來管理惡意 JS 文件的訪問域名，為了盡可能避免 Web3 用戶遭受到釣魚攻擊導致的資產損失，慢霧安全團隊聯合 Scam Sniffer 團隊通過 Angel Drainer 釣魚團伙的一系列特征識別了上千個釣魚網站，并將這些釣魚網站反饋到 eth-phishing-detect 希望通過社區的力量一同維護 Web3 行業的生態安全。

其它快訊：

慢霧：SafeTrade涉嫌Rug Pull，受影響資金預估至少660萬美元:金色財經報道，據MistTrack監測，SafeTrade Exchange涉嫌Rug Pull。慢霧創始人余弦表示，SafeTrade是一家中心化的礦幣概念平臺，受影響資金預估至少660萬美元。[2023/11/22 18:21:00]

慢霧：iCloud 用戶的MetaMask錢包遭遇釣魚攻擊是由于自身的安全意識不足:據官方消息，慢霧發布iCloud 用戶的MetaMask錢包遭遇釣魚攻擊簡析，首先用戶遭遇了釣魚攻擊，是由于自身的安全意識不足，泄露了iCloud賬號密碼，用戶應當承擔大部分的責任。但是從錢包產品設計的角度上分析，MetaMask iOS App 端本身就存在有安全缺陷。

MetaMask安卓端在AndroidManifest.xml中有android:allowBackup=\"false\" 來禁止應用程序被用戶和系統進行備份，從而避免備份的數據在其他設備上被恢復。

MetaMask iOS端代碼中沒有發現存在這類禁止錢包數據(如 KeyStore 文件)被系統備份的機制。默認情況下iCloud會自動備份應用數據，當iCloud賬號密碼等權限信息被惡意攻擊者獲取，攻擊者可以從目標 iCloud 里恢復 MetaMask iOS App 錢包的相關數據。

慢霧安全團隊經過實測通過 iCloud 恢復數據后再打開 MetaMask 錢包，還需要輸入驗證錢包的密碼，如果密碼的復雜度較低就會存在被破解的可能。[2022/4/18 14:31:38]

慢霧：Multichain(AnySwap)被黑由于anySwapOutUnderlyingWithPermit函數相關問題:據Multichain(AnySwap)早前消息，2022年01月18日，一個影響6個跨鏈Token的關鍵漏洞正在被利用。慢霧安全團隊進行分析后表示，此次主要是由于anySwapOutUnderlyingWithPermit函數為檢查用戶傳入的Token的合法性，且未考慮并非所有underlying代幣都有實現permit函數，導致用戶資產被未授權轉出。慢霧安全團隊建議：應對用戶傳入的參數是否符合預期進行檢查，且在與其他合約進行對接時應考慮好兼容性問題。[2022/1/19 8:57:49]