慢雾：Numbers Protocol遭遇攻击，尽快取消对跨链桥授权

BlockBeats 消息，11 月 23 日，据慢雾安全团队情报，以太坊链上 Numbers Protocol（NUM）项目遭到攻击，攻击者获利约 13,836 美元。慢雾安全团队提醒用户迅速取消对跨链桥的授权。攻击具体过程如下： 1. 攻击者创建了一个恶意的 anyToken，即攻击合约（0xa68cce），该恶意 Token 合约的底层 Token 指向 NUM 地址； 2. 接着调用 Multichain 跨链桥的 Router 合约的 anySwapOutUnderlyingWithPermit 函数，该函数的功能是传入 anyToken 并调用底层 Token 的 permit 函数进行签名批准，之后兑换出拥有授权的用户的底层 Token 给指定地址。但是由于 NUM 中没有 permit 函数且拥有回调功能，所以即使攻击者传入假签名也能正常返回使得交易不会失败，导致受害者地址的 NUM 最终可以被转出到指定的攻击合约中； 3. 接着攻击者将获利的 NUM 通过 Uniswap 换成 USDC 再换成 ETH 获利；此次攻击的主要原因在于 NUM 中没有 permit 函数且具有回调功能，所以可以传入假签名欺骗跨链桥导致用户资产被非预期转出。