Beosin: マルチチェーンの AnyswapV4Router コントラクトがフロントランニング攻撃を受け、攻撃者は約 13 万ドルの利益を上げました

ブロックチェーンのセキュリティ監査会社 Beosin の Beosin EagleEye セキュリティ リスク モニタリング、早期警告およびブロッキング プラットフォーム モニタリングによると、Multichain の AnyswapV4Router コントラクトがラッシュ攻撃を受け、2023 年 2 月 15 日、攻撃者は MEV コントラクト (0xd050) を使用しました。通常、トランザクションが実行される前 (ユーザーは WETH を承認しましたが、まだ転送を行っていません)、AnyswapV4Router コントラクトの anySwapOutUnderlyingWithPermit 関数が最初に呼び出され、署名承認転送が実行されます. 関数はトークンの許可署名検証を使用しますが、盗まれた WETH は関係ありません. 署名検証機能は、フォールバックで預金機能をトリガーするだけです.後続の関数呼び出しでは、攻撃者は safeTransferFrom 関数を直接使用して、_underlying アドレスによって承認された WETH を攻撃されたコントラクトに署名検証なしで攻撃コントラクトに転送できます。攻撃者は約 87 イーサリアム (約 130,000 ドル) の利益を上げました. Beosin Trace によると、盗まれた資金の約 70 イーサリアムが 0x690b アドレスに入り、約 17 イーサリアムがまだ MEVBOT の契約に残っています。