⚠️Vulnerabilidad en contratos explotada: activos del fondo de reserva de QNT atacados

Otro incidente de seguridad en la cadena vuelve a ocurrir. El atacante aprovechó fallos en la autorización de cuentas y en el diseño de permisos de los contratos para robar activos del fondo de reserva.
Los detalles clave del incidente son los siguientes:
El atacante inició el ataque mediante un mecanismo defectuoso de la cuenta EIP-7702
Robó 1,988.5 Quant (QNT) del fondo de reserva
Valor aproximado de 54.93 Ethereum
La causa principal del problema:
1️⃣ La dirección EOA del administrador del fondo de reserva delega el código al contrato BatchExecutor mediante EIP-7702
2️⃣ Este contrato a su vez autoriza al contrato BatchCall para realizar llamadas en lote
3️⃣ Pero la función () no tiene ninguna verificación de permisos
Como resultado:
👉 Cualquier dirección externa puede llamar directamente a esa función
👉 Finalmente, el atacante logró ejecutar llamadas en lote y transferir los activos del fondo de reserva
Perspectiva profesional:
Este tipo de incidentes no son en esencia un problema de la cadena subyacente, sino una falla en el diseño de la gestión de permisos del contrato. En los sistemas DeFi, un error en la configuración de permisos puede llevar a que los fondos sean completamente vaciados.
Resumen en una frase:
En el mundo en cadena, el código es la regla, y la frontera de seguridad suele decidirlo todo. #WCTC交易王PK #加密市场小幅下跌 #Polymarket每日热点 $ONT $SSV