Beosin: Kontrak AnyswapV4Router Multichain diserang oleh serangan front-running, dan penyerang mendapat untung sekitar 130.000 dolar AS

Menurut pemantauan risiko keamanan Beosin EagleEye, peringatan dini dan pemantauan platform pemblokiran dari perusahaan audit keamanan blockchain Beosin, kontrak AnyswapV4Router dari Multichain diserang oleh serangan terburu-buru.Pada 15 Februari 2023, penyerang menggunakan kontrak MEV (0xd050) dalam keadaan normal Sebelum transaksi dijalankan (pengguna telah mengotorisasi WETH tetapi belum melakukan transfer), fungsi anySwapOutUnderlyingWithPermit dari kontrak AnyswapV4Router dipanggil terlebih dahulu untuk melakukan transfer otorisasi tanda tangan. Meskipun fungsi tersebut menggunakan verifikasi tanda tangan izin token, WETH yang dicuri tidak relevan. Fungsi verifikasi tanda tangan hanya memicu fungsi deposit dalam fallback. Dalam pemanggilan fungsi selanjutnya, penyerang dapat langsung menggunakan fungsi safeTransferFrom untuk mentransfer WETH yang diotorisasi oleh alamat _underlying ke kontrak yang diserang ke kontrak serangan tanpa verifikasi tanda tangan. Penyerang mendapat untung sekitar 87 Ethereum, yaitu sekitar $ 130.000. Menurut Beosin Trace, sekitar 70 Ethereum dari dana yang dicuri telah memasuki alamat 0x690b, dan sekitar 17 Ethereum masih dalam kontrak MEVBOT.