Beosin: Transit SwapRouter因exactInputV3Swap函数缺乏对pool输入合法校验而被攻击

据Beosin旗下EagleEye安全风险监控、预警与阻断平台监测显示，Transit Finance项目遭到攻击，Beosin安全团队分析发现Transit Finance的SwapRouter中的exactInputV3Swap函数由于缺乏对pool输入合法校验，导致被攻击。以0x93ae5...6de1081交易为例，攻击者传入伪造的pool和WBNB/BUSD池子路径、从而在第一次兑换中控制了actualAmountIn，导致SwapRouter将伪造的actualAmountIn作为在WBNB/BUSD池子中兑换的初始值，从而窃取了SwapRouter中的BUSD。 相关地址：https://eagleeye.space/risk/0xf7552ba0ee5bed0f306658f4a1201f421d703898。