攻击者从 bZx 去中心化金融 (DeFi) 平台窃取了价值 5500 万美元的加密货币。去中心化金融 (DeFi) 平台允许用户借贷和推测加密货币的价格变化。

攻击者通过鱼叉式网络钓鱼攻击获得了 DeFi 平台的两个私钥,该攻击类似于最近影响另一个名为“mgnr.io”的用户。该公司指出,该事件不是协议黑客攻击。

“bZx 开发人员在网络钓鱼攻击中盗用了他的个人钱包的私钥。” 阅读该公司发布的初步验尸分析。“一名 bZx 开发人员收到一封钓鱼邮件,其中包含伪装成合法电子邮件附件的 Word 文档中的恶意宏,”“这次攻击允许黑客访问 bZx 开发人员钱包的内容,以及bZx 协议的 BSC 和 Polygon 部署的私钥。在获得 BSC 和 Polygon 的控制权后,黑客耗尽了 BSC 和 Polygon 协议,然后升级了合约,以允许耗尽合约给予无限批准的所有代币。”

网络钓鱼消息使用了武器化的 Word 文档,一旦打开该文档,就会在开发人员的计算机上运行脚本,从而允许攻击者访问员工的助记词钱包短语。

攻击者窃取了开发人员个人钱包中的资金以及 bZx 平台用于与 Polygon 和币安智能链 (BSC) 区块链集成的两个私钥。

威胁行为者使用密钥窃取了平台的 Polygon 和 BSC 资金,他们还能够从批准无限制支出操作的少数用户那里窃取资金。

bZx 尚未确认被盗资金的确切金额,区块链安全公司 SlowMist 的专家推测,威胁行为者已盗取超过 5500 万美元。

针对该事件,平台采取了以下措施:

联系了 Banteg 和 Mudit Gupta 加入我们的作战室。

联系了 Tether 并从黑客钱包中冻结了 USDT。(见下面地址)

联系Binance,冻结了在BSC上被盗的BZRX,防止其被转移。

联系了KuCoin,发现其中一个黑客钱包被用于进出交易所。

禁用 Polygon 和 BSC 上的 UI,以防止用户存款。

联系USDC,要求冻结黑客钱包中的USDC。

联系KuCoin确认黑客KuCoin账户。

bZx 承诺向攻击者提供赏金,以防他们返还被盗资金。

最近,攻击者从另一个去中心化金融平台 Cream Finance DeFI 平台窃取了价值 1.3 亿美元的加密货币资产。