DEX協議Bancor遭受安全漏洞，轉移了價值45.5萬美元的用戶資金

來源: The Block 2020-06-19

分散交換（DEX）協議Bancor Network在周三晚些時候遭受了安全漏洞，這可能會導致價值約455,349美元的用戶資金損失。但是Bancor很快發現了問題，並將資金轉移到了安全的錢包中。

具體來說，兩天前部署的Bancor最新智能合約中就有一個錯誤。因此，在過去48小時內與交換協議進行交互的所有用戶均受到影響。

“由於v0.6合約中發現了最近的漏洞，如果您在過去48小時內使用Bancor合約進行交易，請訪問https://approved.zone/並撤消受影響的Bancor合約地址中的所有批准，” Bancor在其官方電報頻道星期三晚。

DEX聚合器1inch.exchange的CTO Anton Bukov告訴The Block，該漏洞是“嚴重的”漏洞。布科夫說，智能合約具有一種公開的方法，該方法允許任何人使用“無限批准”來竊取用戶資金。無限批准是一種ERC-20功能，允許某人捕獲另一個錢包的令牌。

確實，Bancor在今天早些時候的一篇詳細博客文章中說，v0.6合同“錯誤地在BancorNetwork合同中公開了safeTransferFrom函數。”

“交換智能合約，例如Bancor的使用津貼，可以與用戶錢包進行交互。這是大多數DAPP常用的做法。但是在這種情況下，本應僅限於合同的私人職能已公開。從本質上講，這允許任何人轉讓僅批准用於轉讓合同的代幣。”

Bancor保證，該用戶發起白帽攻擊並將價值455,349美元的資金轉移到一個安全的錢包中，因此沒有用戶資金受到此漏洞的威脅。

“然後推了一個新的網絡合同，以確保不會再次出現這樣的錯誤。現在，系統內的交易已恢復正常。”

當Bancor發起白帽活動時，兩個套利機器人發現了進來的交易，並以135,229美元的利潤領先於領先的Bancor。 Bancor表示，它正在與這些機器人的所有者聯繫，並正在與他們合作退還這筆錢，以換取漏洞賞金。

布科夫告訴《 The Block》，這兩個機器人或自動駕駛機器人是arden43y@gmail.com和0x9799b475dec92bd99bbdd943013325c36157f383@riseup.net。這些機器人是否將資金退還給Bancor，還有待觀察。

這不是Bancor第一次遭受漏洞攻擊。在2018年，它被黑客入侵並損失了價值1350萬美元的資金，這些資金被保存在幾個轉換器合同中。它最初當時損失了2350萬美元，但是節省了大約1000萬美元，導致淨虧損1350萬美元。

更正：Bancor告訴The Block，如前所述，它在2019年未遭受黑客攻擊。