본파이어스왑 라우팅 계약을 악용한 공격으로 토큰 보유자 41명이 약 5만달러(약 6800만원) 상당의 자산을 잃었다는 보도가 나왔다.
블록체인 보안업체 슬로미스트(SlowMist)는 16일 X 계정에서 공격자가 라우팅 계약의 transfer 함수에 있는 접근 제어 결함을 악용했다고 밝혔다. 해당 함수는 출금 주체와 호출자의 일치 여부 및 출금 주체의 사용 승인을 제대로 확인하지 않아, 공격자가 피해자 주소를 출금 주체로 지정할 수 있었던 것으로 전해졌다.
슬로미스트는 공격자가 라우팅 계약에 미리 사용 승인을 부여한 지갑에서 토큰을 옮긴 뒤 동일한 토큰을 유동성 풀에서 교환하는 방식으로 자산을 빼냈다고 설명했다. 가장 큰 피해를 본 주소에서는 5289.1개 토큰이 빠져나간 것으로 나타났다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사