9月安全事件回顾

NFT 赛马项目 DeRac 针对 DAO 公共买家在未来解锁领取代币的合约 DAO Maker分发系统 被攻击，其漏洞原理是：Vesting 合约 未进行 init 未初始化保护，从而让黑客初始化了 init 的关键参数，也变更了 owner，导致黑客通过紧急提款函数提取了合约资金，损失约 400 万美元。

NFT 市场 OpenSea 出现漏洞导致 30 笔交易受到影响，至少 42 个 NFT 被销毁， 损失约 9.7 万美元。

Avalanche 链上 Zabu Finance 由于其 defi 协议与代币协议之间不兼容被黑客利用，通过攻击获取 45 亿 ZABU 代币，损失约 60 万美元。

去中心化交易所 NowSwap 遭到黑客攻击，由于没有修改 swap 函数的参数导致闪电贷的恒定乘积校验逻辑失效，攻击者返还部分闪电贷金额即被认为是完全归还，从而实现了攻击，损失金额超 100 万美元。

9 月 17 日，SushiSwap 平台 MISO 上的 DONA 代币拍卖遭到攻击，黑客通过向 MISO 前端插入了恶意代码，将拍卖钱包地址改为了自己的钱包地址获利，损失超 300 万美元。

跨链协议 pNetwork 因代码漏洞遭攻击，损失约 1308 万美元。

借贷协议 Vee.Finance，超 3500 万美元资产被盗，据官方调查，极可能是小数点未精确以及权限校验问题导致预言机价格被操纵。

OpenZeppelin 的 TimelockController 合约修复了一个可重入漏洞，这是 OpenZeppelin 在其开源智能合约库中唯一存在的严重漏洞。

去中心化借贷协议 Compound 出现漏洞错误地允许一些用户索取额外的 COMP 代币， 该漏洞损失约 28 万枚 COMP 代币。