Beosin EagleEye: 소켓 프로토콜이 공격자의 콜 인젝션 공격으로 인해 300만 달러 이상의 손실을 입었습니다.

바오신의 보안 위험 모니터링, 경보 및 차단 플랫폼인 이글아이의 모니터링에 따르면, 소켓 프로토콜이 공격자의 콜 인젝션 공격을 받아 다수의 승인된 사용자의 자금이 도난당했습니다. 이 공격은 주로 소켓 컨트랙트의 formAction 함수에 안전하지 않은 호출 호출이 있기 때문입니다. 이 함수는 호출자가 WETH를 ETH로 변환할 수 있으며, 호출자는 WETH 호출을 통해 컨트랙트로 전송된 WETH를 ETH로 변환해야 하며, 그렇지 않으면 잔액 확인을 통과하지 못합니다. 해당 함수의 호출은 WETH 컨트랙트의 출금 함수만 호출할 수 있는 것이 합리적이지만, 프로젝트 측은 호출자가 컨트랙트로 이체한 WETH의 양이 0인 경우를 고려하지 않아 호출자가 호출에서 지정된 다른 함수를 호출하여 잔액 확인을 통과할 수 있는 결과를 초래하게 됩니다. 공격자는 호출 데이터를 구성하고 토큰의 전송을 호출하여 다른 사용자가 컨트랙트에 승인한 토큰을 공격자의 주소로 전송합니다. 현재 공격자는 탈취한 자금을 이더리움으로 변환하여 공격자의 주소에 저장하고 있으며, 뷰신은 이 자금을 지속적으로 모니터링합니다. 탈취된 자금은 https://eagleeye.space/address/0x50DF5a2217588772471B84aDBbe4194A2Ed39066 에 저장됩니다.