MetaTrust: 契約の「引き出し」機能のロジックの問題により Earning.Farm がハッキングされる

MetaTrustのツイートによると、イーサリアム上に展開されているプロジェクト「Earning.Farm」が攻撃を受けており、現時点で攻撃による損失額は約288ETH（53万6000ドル相当）に達しているという。すべてのトークンが新しいウォレット (0 x ee 4 b 3 d) に転送されました。

この脆弱性の根本原因は、「EFVault」コントラクトの「引き出し」機能のロジックの問題です。これにより、ユーザーは、「ENF_ETHLEV」残高が以下の場合にのみ、ユーザーの「ENF_ETHLEV」残高を書き込むことができます。予想シェア。

攻撃ステップ

1/ 攻撃者はフラッシュ ローンから 10,000 イーサリアムを取得し、そのうちの 80 イーサリアムを ENF_ETHLEV コントラクトに入金し、295 e18 株を取得します。

2/ 攻撃者は、withdraw 関数を呼び出して、ENF_ETHLEV コントラクトから 295 e 18 シェアを引き出します。次に、「withdraw」関数は外部コントラクト「コントローラー」のwithdraw関数を呼び出し、攻撃者コントラクトのフォールバック関数をトリガーします。

3/ フォールバック関数では、攻撃者は ( 295 e 18 - 1000) ENF_ETHEV トークンを新しいウォレット 0 x fd 29 f 2 に転送し、攻撃者は 1000 個の ENF-ETHEV トークンのみを書き込みます。

4/ 攻撃者は、0 x fd 29 f 2 ウォレット内の ENF_ETHEV トークンを ETH に変換し、フラッシュ ローンを返済し、そこから利益を得ます。

攻撃トランザクションの 1 つ: 0 x 878 d 8986 ed 05 ab 32 cc 01 e 05663 d 27 ea 471576 d 2 baff 1081 b 15 ed 5 fb 550 f 9 d 81 b

参考ツイート：

私たちに従ってください

Twitter : @MetaTrustLabs

ウェブサイト：metatrust.io