优惠论坛

标题: 慢雾：Numbers Protocol代币项目存在严重漏洞遭攻击，务必尽快取消授权 [打印本页]

作者: 比推快讯 时间: 2022-11-23 19:17
比推消息，据慢雾安全团队情报，2022年11月23日，ETH链上的Numbers Protocol（NUM）代币项目遭到攻击，攻击者获利约13,836美元。慢雾安全团队提醒用户迅速取消对跨链桥的授权。攻击具体过程如下：
1. 攻击者创建了一个恶意的anyToken代币，即攻击合约（0xa68cce），该恶意代币合约的底层代币指向NUM代币地址；
2. 接着调用Multichain跨链桥的Router合约的anySwapOutUnderlyingWithPermit函数，该函数的功能是传入anyToken并调用底层代币的permit函数进行签名批准，之后兑换出拥有授权的用户的底层代币给指定地址。但是由于NUM代币中没有permit函数且拥有回调功能，所以即使攻击者传入假签名也能正常返回使得交易不会失败，导致受害者地址的NUM代币最终可以被转出到指定的攻击合约中；
3. 接着攻击者将获利的NUM代币通过Uniswap换成USDC再换成ETH获利；此次攻击的主要原因在于NUM代币中没有permit函数且具有回调功能，所以可以传入假签名欺骗跨链桥导致用户资产被非预期转出。

风险提示：本新闻涉及的内容仅供参考，不构成投资建议。依据发布的信息以及所表达的意见行事所造成的一切后果由行事者自负。文章链接

欢迎光临优惠论坛 (https://www.tcelue.co/)