Pemantauan Kabut: ether.fi diserang, sekitar 15,45 ETH dicuri. Kabut menyatakan bahwa sebelum pengumuman dipublikasikan, mereka telah menghubungi tim ether.fi secara pribadi dan menanganinya sesuai proses responsible disclosure.

Inti kerentanannya ada pada fungsi solve() di kontrak AtomicQueue: kontrak tidak memeriksa apakah solver == msg.sender, dan juga tidak memiliki validasi tanda tangan, pendaftaran, atau otorisasi. Penyerang pertama-tama menggunakan updateAtomicRequest() untuk menyusun AtomicRequest yang berbahaya, lalu memaksa alamat korban berperan sebagai solver; selanjutnya, kontrak mengeksekusi finishSolve pada alamat korban dan memanggil want.transferFrom(solver, users[i], assetsToUser), sehingga mengambil alih batas ERC-20 yang sebelumnya diotorisasi korban kepada protokol.

Ini bukan kebocoran kunci privat, melainkan eksploitasi jalur pemanggilan yang memanfaatkan “otorisasi yang sudah ada” akibat kurangnya kontrol akses. Disarankan bagi alamat yang memiliki riwayat interaksi dengan ether.fi atau kontrak terkait untuk segera memeriksa dan mencabut otorisasi token yang tidak diperlukan; pengguna DeFi juga sebaiknya membiasakan diri melakukan pembersihan berkala terhadap approve jumlah (quota) yang diberikan.

#DeFi安全 #以太坊 #etherfi