慢雾：Numbers Protocol （NUM）代币项目存在严重漏洞遭攻击，请用户迅速取消对跨链桥的授权

GATE.IO芝麻开门

GATE.IO芝麻开门交易所(原比特儿交易所)是全球前10的交易所，新用户注册可免费领取空投，每月可得50-200U

点击注册 更多入口

更多交易所入口

一站式注册各大交易所、点击进入加密世界、永不失联，币安Binance/欧易OKX/GATE.IO芝麻开门/Bitget/抹茶MEXC/火币Huobi

点击进入 永不失联

陀螺科技消息，据慢雾安全团队情报，2022 年 11 月 23 日，ETH 链上的 Numbers Protocol （NUM）代币项目遭到攻击，攻击者获利约 13,836 美元。慢雾安全团队以简讯形式分享如下：1. 攻击者创建了一个恶意的 anyToken 代币，即攻击合约（0xa68cce），该恶意代币合约的底层代币指向 NUM 代币地址；2. 接着调用 Multichain 跨链桥的 Router 合约的 anySwapOutUnderlyingWithPermit 函数，该函数的功能是传入 anyToken 并调用底层代币的 permit 函数进行签名批准，之后兑换出拥有授权的用户的底层代币给指定地址。但是由于 NUM 代币中没有 permit 函数且拥有回调功能，所以即使攻击者传入假签名也能正常返回使得交易不会失败，导致受害者地址的 NUM 代币最终可以被转出到指定的攻击合约中；3. 接着攻击者将获利的 NUM 代币通过 Uniswap 换成 USDC 再换成 ETH 获利；
此次攻击的主要原因在于 NUM 代币中没有 permit 函数且具有回调功能，所以可以传入假签名欺骗跨链桥导致用户资产被非预期转出。