您現(xiàn)在的位置是：眾鏈財(cái)經(jīng) > 幣快訊 >

精選安全團(tuán)隊(duì)：建議用戶取消不同鏈上SushiswapRouteProcessor2合約的授權(quán)

2023-04-09 14:40

簡(jiǎn)介據(jù)報(bào)道，據(jù)區(qū)塊鏈安全審計(jì)公司Beosin旗下Beosin EagleEye安全風(fēng)險(xiǎn)監(jiān)控、預(yù)警與阻斷平臺(tái)監(jiān)測(cè)顯示，2023年4月9日， Sushiswap項(xiàng)目遭到攻擊，部分授權(quán)用戶資產(chǎn)已被轉(zhuǎn)移。根本原因是由于合約的值lastCalledPool重置在校驗(yàn)之前，導(dǎo)致合約中針對(duì)pool的檢查失效，從而允許攻擊者swap時(shí)指定惡意pool轉(zhuǎn)出授權(quán)用戶資金，以其中0xea3480f1f1d1f0b32283f8f282ce16403fe22ede35c0b71a732193e56c5c45e8為例： 1.攻擊者在約30天前創(chuàng)建了惡意pool合約 2.調(diào)用SushiSwap的路由函數(shù)processRoute進(jìn)行swap，指定了創(chuàng)建的惡意合約為pool合約 3.最后在swap后惡意合約調(diào)用uniswapV3SwapCallback，指定tokenIn為WETH，from地址為受害者用戶地址(sifuvision.eth)，從而利用受害用戶對(duì)路由合約的授權(quán)轉(zhuǎn)移走資金。建議用戶取消不同鏈上Sushiswap RouteProcessor2合約的授權(quán)。

據(jù)報(bào)道，據(jù)區(qū)塊鏈安全審計(jì)公司Beosin旗下Beosin EagleEye安全風(fēng)險(xiǎn)監(jiān)控、預(yù)警與阻斷平臺(tái)監(jiān)測(cè)顯示，2023年4月9日， Sushiswap項(xiàng)目遭到攻擊，部分授權(quán)用戶資產(chǎn)已被轉(zhuǎn)移。根本原因是由于合約的值lastCalledPool重置在校驗(yàn)之前，導(dǎo)致合約中針對(duì)pool的檢查失效，從而允許攻擊者swap時(shí)指定惡意pool轉(zhuǎn)出授權(quán)用戶資金，以其中0xea3480f1f1d1f0b32283f8f282ce16403fe22ede35c0b71a732193e56c5c45e8為例： 1.攻擊者在約30天前創(chuàng)建了惡意pool合約 2.調(diào)用SushiSwap的路由函數(shù)processRoute進(jìn)行swap，指定了創(chuàng)建的惡意合約為pool合約 3.最后在swap后惡意合約調(diào)用uniswapV3SwapCallback，指定tokenIn為WETH，from地址為受害者用戶地址(sifuvision.eth)，從而利用受害用戶對(duì)路由合約的授權(quán)轉(zhuǎn)移走資金。建議用戶取消不同鏈上Sushiswap RouteProcessor2合約的授權(quán)。

您現(xiàn)在的位置是：眾鏈財(cái)經(jīng) > 幣快訊 >

精選安全團(tuán)隊(duì)：建議用戶取消不同鏈上SushiswapRouteProcessor2合約的授權(quán)

相關(guān)文章

站長(zhǎng)推薦

標(biāo)簽云