安全团队:建议用户取消不同链上Sushiswap RouteProcessor2合约的授权

2023-04-09 14:33:14

金色财经报道,据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示,2023年4月9日, Sushiswap项目遭到攻击,部分授权用户资产已被转移。 根本原因是由于合约的值lastCalledPool重置在校验之前,导致合约中针对pool的检查失效,从而允许攻击者swap时指定恶意pool转出授权用户资金,以其中0xea3480f1f1d1f0b32283f8f282ce16403fe22ede35c0b71a732193e56c5c45e8为例: 1.攻击者在约30天前创建了恶意pool合约 2.调用SushiSwap的路由函数processRoute进行swap,指定了创建的恶意合约为pool合约 3.最后在swap后恶意合约调用uniswapV3SwapCallback,指定tokenIn为WETH,from地址为受害者用户地址(sifuvision.eth),从而利用受害用户对路由合约的授权转移走资金。 建议用户取消不同链上Sushiswap RouteProcessor2合约的授权。
211COIN发布此信息目的在于传播更多信息,与本网站立场无关,文章内容仅供参考,不代表任何确定性判断,且不构成投资建议,请谨慎对待,风险自担。
相关快讯
18:22
Magpie:发现合约存在漏洞,建议用户尽快取消授权
金色财经报道,跨链基础设施 Magpie Protocol 发文称合约存在漏洞,督促曾对授权过其合约且钱包内仍持有资金的用户尽快取消各条链上的相关合约授权。
16:15
SushiSwap主厨:建议在撤销所有链上RouteProcessor2合约
金色财经报道, SushiSwap主厨Jared Gray在社交媒体发文,建议在所有区块链上撤销RouteProcessor2合约,他还表示目前正在与安全团队合作解决这个问题。另据Block Research分析师Kevin Peng披露数据显示,到目前为止,已有190个以太坊地址批准了有问题的合约,但在Layer 2 Arbitrum上已有超过2000个地址已经批准了有问题的合约。(The Block)
20:47
BitKeep:已暂停支持Multichain跨链通道,建议取消相关合约授权
5月24日消息,BitKeep钱包官方发推称,由于多名用户反馈Multichain跨链出现异常延迟,为保护用户资产安全,现已暂停支持Multichain跨链通道,BitKeep本身的跨链桥接功能不受影响。此外,为避免MultiChain合约授权带来的安全和资金风险,建议用户取消相关合约授权。
12:52
安全团队:SUSHI RouteProcessor2遭受攻击请及时撤销对其的授权
金色财经报道,据慢雾安全团队情报,2023 年 4 月 9 日,SUSHI RouteProcessor2 遭到攻击。慢雾安全团队以简讯的形式分享如下: 1. 根本原因在于 ProcessRoute 未对用户传入的 route 参数进行任何检查,导致攻击者利用此问题构造了恶意的 route 参数使合约读取的 Pool 是由攻击者创建的。 2. 由于在合约中并未对 Pool 是否合法进行检查,直接将 lastCalledPool 变量设置为 Pool 并调用了 Pool 的 swap 函数。 3. 恶意的 Pool 在其 swap 函数中回调了 RouteProcessor2 的 uniswapV3SwapCallback 函数,由于 lastCalledPool 变量已被设置为 Pool,因此 uniswapV3SwapCallback 中对 msg.sender 的检查被绕过。 4. 攻击者利用此问题在恶意 Pool 回调 uniswapV3SwapCallback 函数时构造了代币转移的参数,以窃取其他已对 RouteProcessor2 授权的用户的代币。 幸运的是部分用户的资金已被白帽抢跑,有望收回。慢雾安全团队建议 RouteProcessor2 的用户及时撤销对 0x044b75f554b886a065b9567891e45c79542d7357 的授权。
16:36
慢雾:发现BNB Chain上一恶意合约地址,建议用户快速验证并撤销异常授权
8月20日消息,慢雾在推特发文提醒:请用户检查是否已将资产授权到BNB Chain上的一恶意合约地址:0x75117c9158f53998ce8689B64509EFf4FA10AD80。 该恶意合约尚未通过开源进行验证,但反编译显示其存在针对授权资产的任意转账后门。这种类型的后门让用户钱包在很长一段时间内保持正常使用,但当某天转移一笔金额稍大的资产时,它会突然被盗,而链上不会显示任何最近的异常授权。 用户可使用Revoke.cash和Rabby Wallet进行快速验证并撤销异常授权。以下是与上述合约相关的恶意地址:0xE2A178C2C5C4920C1b2B947A35edDb4f8EcBb7dD、0xB88457b62491CBcEc42203672cFcb4269d64c7e。请用户保持警惕。
16:37
OpenSea旧合约发现漏洞未取消Wyvern协议授权的用户存在NFT被盗风险
10月28日消息,浏览器安全插件 Pocket Universe 发推称,Opensea 旧合约上发现一个新漏洞,可用于窃取用户的 NFT,一旦签署交易就可能被清空钱包。它可以盗取用户在 2022 年 5 月之前在 Opensea 上列出的任何 NFT(也即 Seaport 升级之前),主要涉及 Wyvern 协议,它授予了代理合约撤回用户 NFT 的权利,而这个新的漏洞利用会诱使用户签署交易,让攻击者拥有用户的代理合约的所有权。
Copyright © 2018-2022 211COIN版权所有.