【安全团队:Numbers Protocol(NUM)项目遭攻击】金色财经报道,据慢雾安全团队情报,2022年11月23日,ETH链上的Numbers Protocol(NUM)代币项目遭到攻击,攻…

【安全团队:Numbers Protocol(NUM)项目遭攻击】金色财经报道,据慢雾安全团队情报,2022年11月23日,ETH链上的Numbers Protocol(NUM)代币项目遭到攻击,攻击者获利约13,836美元。慢雾安全团队以简讯形式分享如下:
1.攻击者创建了一个恶意的anyToken代币,即攻击合约(0xa68cce),该恶意代币合约的底层代币指向NUM代币地址;
2.接着调用Multichain跨链桥的Router合约的anySwapOutUnderlyingWithPermit函数,该函数的功能是传入anyToken并调用底层代币的permit函数进行签名批准,之后兑换出拥有授权的用户的底层代币给指定地址。但是由于NUM代币中没有permit函数且拥有回调功能,所以即使攻击者传入假签名也能正常返回使得交易不会失败,导致受害者地址的NUM代币最终可以被转出到指定的攻击合约中;
3.接着攻击者将获利的NUM代币通过Uniswap换成USDC再换成ETH获利;此次攻击的主要原因在于NUM代币中没有permit函数且具有回调功能,所以可以传入假签名欺骗跨链桥导致用户资产被非预期转出。
原文链接

上一篇:

下一篇: