Beosin: changeRewardPerNode 関数が検証されていないため、AurumNodePool コントラクトが攻撃されました

2022 年 11 月 23 日、ブロックチェーン セキュリティ監査会社 Beosin の Beosin EagleEye セキュリティ リスク モニタリング、早期警告およびブロッキング プラットフォーム モニタリングによると、AurumNodePool コントラクトが脆弱性によって攻撃されました。 Beosin の分析によると、脆弱なコントラクトの changeRewardPerNode 関数が検証されていないため、攻撃者はこの関数を呼び出して任意の値を設定できることがわかりました。攻撃者は最初に changeRewardPerNode 関数を呼び出して毎日の報酬値を非常に大きな数値に設定し、次に claimNodeReward 関数を呼び出してノード報酬を抽出します。ノード報酬の計算は、攻撃者が設定したrewardPerDay 値に依存します。非常に高い計算ノード報酬。このトランザクションの前に、攻撃者はトランザクション (0xb3bc6ca257387eaae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d) を通じて 1000 AUR をコントラクトに預け入れ、攻撃者のノード レコードを作成し、攻撃者がノード報酬を抽出できるようにしました。最終的に、攻撃者はこの脆弱性を利用して約 50 BNB (約 14,538.04 ドル) を獲得しました。