SlowMist: ether.fi 해킹으로 약 15.45 ETH 손실

TechFlow의 9월 11일 보도에 따르면, SlowMist는 관련 문제를 ether.fi 팀에 사적으로 사전에 통보했다고 밝히며 보안 경고를 발령했습니다. 이번 사고로 약 15.45 ETH가 손실되었습니다. 근본 원인은 AtomicQueue.solve()가 호출자가 제공한 solver에 대한 접근 제어 기능이 부재하여 solver == msg.sender 검증을 수행하지 않았고, 서명, 등록 또는 동의 검증도 이루어지지 않은 것입니다. 공격자는 updateAtomicRequest()를 통해 악성 AtomicRequest를 생성해 피해자 주소를 강제 solver로 지정했으며, 이후 스마트 계약에서 피해자의 finishSolve를 호출하고 transferFrom을 실행하여 기존 ERC-20 승인 권한을 활용해 자금을 이체했습니다.