SlowMist: Lỗ hổng lệnh gọi cấp thấp trên hợp đồng chưa được xác minh dẫn đến khoảng 16.6 đồng WETH bị đánh cắp

TechFlow đưa tin, ngày 01 tháng 8, theo giám sát của đội ngũ bảo mật SlowMist, một hợp đồng chưa được xác minh do tồn tại lỗ hổng gọi cấp thấp không bị giới hạn tại selector 0x42be3129, khiến khoảng 16.6 WETH bị đánh cắp.

SlowMist cho biết, lỗ hổng này bắt nguồn từ việc hợp đồng thiếu kiểm soát truy cập và xác minh đối với địa chỉ mục tiêu cùng dữ liệu gọi. Kẻ tấn công lợi dụng hạn mức ủy quyền ERC20 hiện có của hợp đồng, bỏ qua kiểm tra chủ sở hữu, thực hiện thao tác transferFrom không được ủy quyền, cuối cùng đánh cắp các tài sản liên quan.