Slow Mist: Rabby Swap には外部呼び出しのリスクがあり、ハッカーは 190,000 ドル以上の利益を上げています

SlowMist セキュリティ チームの情報によると、2022 年 10 月 11 日、イーサリアム チェーン上の Rabby ウォレット プロジェクトの Swap コントラクトが攻撃され、OpenZeppelin の functionCallWithValue 関数を通じて、コントラクト内のトークン交換機能が外部から直接呼び出されました。呼び出し中のアドレス ライブラリ ターゲット コントラクトと呼び出しデータの両方をユーザーが渡すことができますが、ユーザーが渡したパラメーターはコントラクトでチェックされないため、外部呼び出しの問題が発生します。攻撃者はこの問題を悪用して、この契約を承認されたユーザーから資金を盗みます。 SlowMist のセキュリティ チームは、契約を使用したユーザーに、リスクを回避するために契約の承認を迅速にキャンセルし、資金を引き出すことを思い出させます。これまでのところ、Rabby Swap 事件のハッカーは 190,000 ドル以上の利益を上げており、当分の間、資金はそれ以上送金されていません。ハッカーのアドレスの手数料のソースは Tornado Cash 10 BNB であり、使用されるツールには Multichain、ParaSwap、PancakeSwap、Uniswap V3、および Trader Joe が含まれます。 SlowMist MistTrack は、ハッカーのアドレスを継続的に監視し、関連する痕跡を分析します。