当前位置:首页 > 快讯 >

慢雾:Rubic协议错将USDC添至Router白名单,导致已授权合约用户USDC遭窃取

据慢雾安全团队报道,12月25日,Rubic跨链聚合器项目受到攻击,导致用户账户USDC被窃取。慢雾安全团队分享如下:1. Rubic是一个DEX用户可以通过跨链聚合器RubicProxy合约中的routerCallNative函数进行Native Token兑换。在交换之前,将首先检查用户需要调用的目标 Router是否在协议的白名单中。 2. 只有在白名单检查后,用户才会输入目标Router调用数据也由用户外部传输。 3. 不幸的是USDC也被添加到Rubic协议的Router所以任何用户都可以通过白名单RubicProxy任意调用合同USDC。 4. 恶意用户利用这个问题routerCallNative函数调用USDC授权合同RubicProxy合同用户USDC通过transferFrom将接口转移到恶意用户账户。 攻击的根本原因是Rubic协议错误USDC添加进Router在白名单中,授权被授权RubicProxy合同用户USDC被窃取。

猜你喜欢

微信二维码

微信