7 月安全月报 | 私钥泄露损失约占总损失 88%，超 2.6 亿美元

7月18日，WazirX多签钱包私钥泄露，造成损失约2.35亿美元。

7 月 24 日，ETH 链上地址0x07...fDC9 损失价值469 万美元的 Pendle 重新质押代币。

7月16日，LiFi Protocol 跨链桥聚合协议被攻击，导致损失约1 千万美元，攻击者利用了任意调用漏洞，可以让攻击者盗取授权给这个合约用户的资产。

7 月 21 日，ETH TrustFund 发生RugPull并在 Base 上窃取了价值约200 万美元的加密货币。

7月15日，Minterest在Mantle上遭遇了重大的安全事故，并因此造成了约140万美元的损失。目前，其项目团队已暂停该协议。

流程分析：

1)从Mantle DEX的USDY/USDT资金池中闪电贷出426.5万USDY；

在其回调函数中：共循环又进行了25次FlashLoan & Redeem Underlying动作；

2)从mUSDY市场中闪电贷出39.27万USDY；

在其回调函数中：调用了两个方法wrap & lendRUSDY；

3)存入426.5万USDY，按照share price，换取了447.3万mUSD；

4)使用上一步骤获得的447.3万mUSD份额代币借出了2,747,677万mUSDY；

步骤一：转入447.3 万mUSD share token；

步骤二：将447.3 万 mUSDunwrap回426.5 万 USDY放在mUSDY市场合约中；

步骤三：转给用户2,747,677万mUSDY；

5)取回底层USDY资产，黑客计算取回426.5 万USDY需要多少Redeem Tokens (mUSDY)，发现Redeem Underlying时，黑客只需要还回去 2,566,963万mUSDY，如此一来，黑客便可留下180,714万的mUSDY；

6)循环以上步骤约25次后，黑客获利约140万美元。