安全團隊：Transit Swap最大黑客目前已歸還超8成被盜資金

金色財經報道，據慢霧Mist Track分析，截止目前Transit Swap被盜事件中，盜取最大資金的黑客（地址為 0x75F2...FD46 和 0xfa71...90fb）已歸還超1890萬美元的被盜資金，歸還資金占總被盜資金約83.6%。剩余被盜資金中的12,500BNB 被轉移到Tornado Cash，占總被盜資金約 15.7%。此前，該黑客將約1400萬MOONEY代幣和67,709DAI代幣轉入ShibaSwap:BONE Token合約地址，導致資金無法取出。

安全團隊：發現Circom驗證庫漏洞CVE-2023-33252:金色財經報道，Beosin 發現Circom 驗證庫漏洞CVE-2023-33252，提醒zk項目方注意相關風險。Circom是基于Rust開發的零知識證明電路編譯器，該團隊同時開發了SnarkJS庫用于實現證明系統，包括：可信設置、零知識證明的生成和驗證等，支持Groth16、PLONK、FFLONK算法。

此前，Beosin 安全研究人員在?SnarkJS 0.6.11及之前的版本的庫中發現了一個嚴重漏洞，當該庫在驗證證明時未對參數進行完整的合法性檢查，使得攻擊者可以偽造出多個證明通過校驗，實現雙花攻擊。Beosin在提了這個漏洞以后，第一時間聯系項目方并協助修復，目前該漏洞已修復完成。Beosin提醒所有使用了SnarkJS庫的zk項目方可將SnarkJS更新到 0.7.0版本！以確保安全性。

同時針對此漏洞，Beosin安全團隊提醒zk項目方，在進行proof驗證時，應充分考慮算法設計在實際實現時，由于代碼語言屬性導致的安全風險。目前Beosin已將漏洞提交 CVE漏洞披露平臺（Common Vulnerabilities and Exposures）并獲取認可。[2023/5/25 10:39:47]

安全團隊：攻擊者通過AVAX閃電貸攻擊獲利約37萬USDC:9月7日消息，據CertiK預警監測，一個針對AVAX的閃電貸攻擊影響了合約0xe767c和一些LP，攻擊者獲利約37萬USDC。攻擊者可能影響的協議包括Nereus Finance、Trader Joe、Curve Finance。[2022/9/7 13:13:26]

安全團隊：KAITU項目Discord服務器遭到攻擊:金色財經消息，據CertiK監測，KAITU項目Discord服務器遭到攻擊。請社區用戶不要點擊、鑄造或批準任何交易。[2022/8/26 12:50:28]