Compass Investments

– 梭子鱼金融公司（Pike Finance）智能合约中的一个漏洞已导致 160 万美元的损失。

该漏洞是在 4 月 26 日发生与 USDC 相关的事件后被发现的。

梭子鱼团队正在悬赏并计划补偿受影响的用户。

周三清晨，区块链安全公司Cyvers在Pike Finance的跨链借贷协议中发现了几笔异常交易；Cyvers还报告称，这些可疑交易造成了约160万美元的重大经济损失。

欺诈活动主要发生在以太坊（ETH）、Arbitrum（ARB）和Optimism（OP）区块链上。在网络攻击中，攻击者在 Arbitrum 上使用了注重隐私的工具 Railgun。

4 月 30 日，链监测平台 CertiK 迅速追踪到了攻击的源头。它发现，攻击者使用初始化函数调用方法操纵了梭子鱼金融公司的智能合约系统，并插入了恶意代码。

攻击者能够初始化梭子鱼金融公司的合约，在此期间 _isActive 变量被设置为攻击者的地址。CertiK 发言人告诉 BeInCrypto，攻击者随后就能利用这一权限调用合约的 upgradeToAndCall 函数，并将其实现方式更改为自己创建的方式。

警告发出后，梭子鱼金融公司终于在其官方 X 账户上发布了一份声明，详细说明了这一漏洞及其影响。声明称，该事件造成了 99,970.48 ARB、64,126 OP 和 479.39 ETH 的损失。

根据 Pike Finance 提供的详细描述，攻击者更新了先前被入侵框架的扬声器合约。然后，他们在智能合约中使用了错误的存储映射。

梭子鱼金融团队写道：”因此，攻击者能够绕过管理员访问权限，更新扬声器合约并提取资金。

梭子鱼金融公司还表示打算进一步调查此次黑客攻击事件。该公司还表示，它将悬赏 20% 奖励任何有助于追回被盗资金的信息。该公司还将讨论并宣布补偿受影响用户的计划。

该漏洞与 4 月 26 日发现的美元币（USDC）提现系统漏洞有关。梭子鱼金融公司承认，该漏洞 “与通过 CCTP 协议管理 USDC 转账的功能安全措施中的一个弱点有关”。该关键漏洞出现在一个功能中，该功能旨在源链上烧毁 USDC，并在目标链上挖掘 USDC，由 Gelato 服务自动执行。

梭子鱼金融公司在一份声明中说：”由于该功能的安全性不足，攻击者可以操纵梭子鱼协议认为有效的收件人地址和金额”。