Odaily Planet Daily News SlowMistセキュリティチームの監視によると、2022年11月10日にETHチェーン上のbrahTOPGプロジェクトが攻撃され、攻撃者は約8万9879米ドルの利益を得た。 SlowMist セキュリティ チームは、テキスト メッセージの形式で次の情報を共有しました。 1. 攻撃者は、まず被害者ユーザー 0x392472 の残高を照会し、次に Zapper コントラクトの zapIn 関数を呼び出しました。 2. まず、この関数は、requiredToken パラメーターで指定されたトークンをコントラクトに転送します。この関数によって渡されるパラメーターは外部から制御可能であるため、攻撃者は、requiredToken を偽のトークンにするために悪意を持ってパラメーターを作成します (つまり、コントラクト自体）、偽のトークンを Zapper コントラクトに転送します。 3. 次に、内部関数 zap が呼び出されます。この関数では、コントラクト内の偽のトークンの残高が渡された値以上であるかどうかが最初にチェックされます。このチェックは、このチェックに合格します。 2番目のステップ。 4. 偽のトークン コントラクトの承認関数は、攻撃者によって悪意を持って構築され、Zapper コントラクトに frax トークンを転送します。この操作は、後続のコントラクトでの frax トークンの残高のチェックを通過させます。財務省への入金に成功しました。 5. 最後に、swapTarget パラメータで指定されたコントラクトが外部で呼び出され (パラメータは外部で制御可能)、呼び出しで渡されるパラメータも外部で構築可能であるため、攻撃者はここで外部呼び出しの脆弱性を悪用して、他の許可されたパラメータを転送します。ユーザーのUSDCトークン。 6. 攻撃者は上記の手順を繰り返し、合計 3 回攻撃し、3 つの被害者のアカウントから約 889,343 の USDC トークンを転送しました。 この攻撃の主な理由は、Zapper コントラクトがユーザーによって渡されたデータを厳密にチェックするためであり、これにより任意の外部呼び出しの問題が発生し、攻撃者はこの任意の外部呼び出しの問題を利用して、まだ承認されているユーザーのトークンを盗みます。契約書に。 SlowMist セキュリティ チームは、この契約を使用したユーザーに対し、資産盗難のリスクを回避するために契約の承認を速やかにキャンセルするよう注意を促します。
