버신: 멀티체인의 AnyswapV4Router 컨트랙트가 선제 공격을 받아 공격자가 약 13만 달러의 수익을 냈습니다.

블록체인 보안감사업체인 베오신의 이글아이(EagleEye) 보안위험감시, 조기경보 및 차단플랫폼 모니터링에 따르면 멀티체인의 AnyswapV4Router 컨트랙트가 급습 공격을 받았고, 공격자는 2023년 2월 15일 MEV 컨트랙트(0xd050)를 사용했다. 정상 거래가 실행되기 전에(사용자가 WETH에 권한을 부여했지만 아직 전송을 하지 않은 경우) AnyswapV4Router 컨트랙트의 anySwapOutUnderlyingWithPermit 함수가 먼저 호출되어 서명 권한 전송을 수행합니다. 도난당한 WETH는 관련이 없습니다 서명 확인 기능은 폴백에서 입금 기능만 트리거합니다. 후속 함수 호출에서 공격자는 safeTransferFrom 함수를 직접 사용하여 _underlying 주소로 인증된 WETH를 공격된 계약으로 서명 확인 없이 공격 계약으로 전송할 수 있습니다. 공격자는 약 $130,000에 해당하는 87 이더리움의 수익을 냈으며, 버신트레이스에 따르면 훔친 자금 중 약 70 이더리움이 0x690b 주소에 들어갔고 약 17 이더리움이 아직 MEVBOT의 컨트랙트에 남아있다.