前言
北京时间2022年5月9日，知道创宇区块链安全实验室监测到BSC链上借贷协议FortressProtocol因预言机问题被攻击，这是最近实验室检测到的第三起预言机攻击事件，损失包括1,048枚ETH和400,000枚DAI，共计约300W美元，目前已使用AnySwap和Celer跨链到以太坊利用Tornado进行混币。
知道创宇区块链安全实验室第一时间跟踪本次事件并分析。
基础信息
Cumberland交易主管：目前最好的加密货币交易是做多GBTC:金色财经报道，加密货币交易公司Cumberland交易主管Jonah Van Bourg表示，加密货币市场目前正遭受根本性的定价错误。?在传统金融中，存在足够的资本来预先对冲几乎任何类型的公告或众所周知的预期信息，但加密货币领域的情况并非如此。加密货币最好的交易是做多GBTC。
但是，Bourg承认，这一切都取决于美国证券交易委员会批准现货比特币ETF的希望，而该ETF尚未完全计入价格。没有足够的资金可以进入加密货币领域来为贝莱德ETF批准带来的收益进行预先配置。[2023/7/7 22:23:01]
被攻击Comtroller：0x01bfa5c99326464b8a1e1d411bb4783bb91ea629
NFT平台OneOf收购区块链奖励公司Tap Network:金色财经报道，NFT平台OneOf收购了区块链奖励工具Tap Network，以帮助公司在Web3中与其消费者建立联系。OneOf将推出One Platform，这是一个turnkey选项，适用于希望扩展到Web3的公司，结合了电子商务、数据和忠诚度计划的元素。
Tap Network成立于2018年，允许消费者用忠诚度积分兑换加密货币，已与互联网浏览器Brave、拼车公司Uber、娱乐公司华纳音乐集团等公司建立了合作关系。[2023/4/4 13:44:35]
被攻击预言机地址：0xc11b687cd6061a6516e23769e4657b6efa25d78e
贝莱德CEO：监管变化可能导致更多银行被查封和倒闭:金色财经报道，全球最大的资产管理公司贝莱德的首席执行官警告说，“针对美国几家主要银行的倒闭，监管部门的变化可能会导致更多的银行被查封和倒闭。现在看来，一些银行确实不可避免地需要缩减贷款以支撑其资产负债表，而且我们可能会看到银行的资本标准更加严格。”[2023/3/19 13:12:59]
攻击者地址：0xA6AF2872176320015f8ddB2ba013B38Cb35d22Ad
攻击合约：0xcD337b920678cF35143322Ab31ab8977C3463a45
tx：0x13d19809b19ac512da6d110764caee75e2157ea62cb70937c8d9471afcb061bf
NFT系列“哥布林”goblintown.wtf 交易额突破1亿美元:金色财经报道，据 NFTGo 最新数据显示，“哥布林”goblintown.wtf系列NFT交易额已突破1亿美元，本文撰写时达到1.0185亿美元，但由于地板价跌至0.665 ETH，其市值目前缩水至约3353万美元。[2022/12/29 22:13:11]
漏洞分析
该项目是依旧是Compound的仿盘，但由于项目方在预言机实现注释了原本存在的检查导致不需要足够的power便可以通过0xc11b687cd6061a6516e23769e4657b6efa25d78e#submit篡改价格；
攻击者通过改变FTS在协议中的价格借走了其他池子中的资产，市场中的借贷池如下：
攻击流程
1、攻击者购买了FTS代币并通过提案投票支持添加FTS作为抵押物，提案ID为11；
2、通过调用预言机submit函数改变FTS的价格；
3、攻击者使用100个FTS作为抵押物调用enterMarket进入市场；
4、由于市场价格对于FTS的价值计算出现问题，攻击者使用该抵押品直接调用borrow进行借款；
借取的资产：
5、由于100个FTS没什么价值不需要取回，而攻击者后续仍将其他用于第一步的FTS还在Pancake兑换进行了彻底的套现。
总结
本次攻击原因是Compound仿盘在预言机使用时出现了问题。近期大量Compound仿盘项目被攻击，我们敦促所有Fork了Compound的项目方主动自查，目前已知的攻击主要归结于如下几个问题：
千里之堤毁于蚁穴。从内部调用可见，本次攻击者使用getAllMarkets依次遍历拿取了全部市场的底层资产并将FTS彻底套现。建议项目方对于自己有不一样的实现上一定要建立在充分的理解和足够的第三方安全审计上。一点小的误差将可能导致项目的全盘损失。
具体项目调研下面将按不同分类以及元宇宙开放程度,对上述项目做具体的分析。分类方式介绍：将对项目分为“可编辑空间或可进入空间游玩”,“与DeFi结合”,“尚未确定”三个大类别；同时将根据“具有本身.
1900/1/1 0:00:00权益质押通常指将cryptocurrency作为抵押物锁定,以保障某一区块链网络或智能合约协议的安全。权益质押的cryptocurrency资产通常与DeFi流动性、收益奖励和治理权挂钩.
1900/1/1 0:00:00具体项目调研下面将按不同分类以及元宇宙开放程度,对上述项目做具体的分析。分类方式介绍：将对项目分为“可编辑空间或可进入空间游玩”,“与DeFi结合”,“尚未确定”三个大类别；同时将根据“具有本身.
1900/1/1 0:00:00背景2021年回顾MolochDAO网络/生态系统概述赠款策略MolochDAO—未来展望MolochDAO关于ETH生态系统发展的计划Moloch崛起！背景-Moloch的故事2019年的情人.
1900/1/1 0:00:00据最新消息,5月13日,波场去中心化算法稳定币USDD已正式登陆Huobi。 目前,TRC20-USDD、BEP20-USDD、ERC20-USDD充值已经开通.
1900/1/1 0:00:00北京时间2022年5月9日凌晨4:34:42,CertiK安全技术团队监测到FortressLoans遭到攻击.
1900/1/1 0:00:00
木星链