ضباب بطيء: لدى Rabby Swap مخاطر مكالمات خارجية ، وقد حقق المتسللون أرباحًا تزيد عن 190 ألف دولار

وفقًا لمعلومات فريق أمان SlowMist ، في 11 أكتوبر 2022 ، تمت مهاجمة عقد Swap لمشروع محفظة Rabby على سلسلة Ethereum ، وتم استدعاء وظيفة تبادل الرموز في العقد خارجيًا من خلال functionCallWithValue function في OpenZeppelin مكتبة العناوين ، أثناء الاتصال ، يمكن للمستخدم تمرير كل من العقد المستهدف وبيانات المكالمة ، ولكن لم يتم التحقق من المعلمات التي تم تمريرها من قبل المستخدم في العقد ، مما يؤدي إلى أي مشكلة خارجية في المكالمة. يستغل المهاجمون هذه المشكلة لسرقة الأموال من المستخدمين المصرح لهم بهذا العقد. يقوم فريق الأمان SlowMist بتذكير المستخدمين الذين استخدموا العقد لإلغاء تفويض العقد بسرعة وسحب الأموال لتجنب المخاطر. حتى الآن ، حقق المتسللون في حادثة Rabby Swap أرباحًا تزيد عن 190 ألف دولار ، ولم يتم تحويل الأموال مرة أخرى في الوقت الحالي. مصدر رسوم المناولة لعنوان المخترق هو Tornado Cash 10 BNB ، وتشمل الأدوات المستخدمة Multichain و ParaSwap و PancakeSwap و Uniswap V3 و Trader Joe. سيراقب SlowMist MistTrack باستمرار عناوين المتسللين ويحلل الآثار ذات الصلة.