ゼロ許可でも通貨を鋳造できる、このバグは本当にやりたい放題だ

仮想通貨界のニュースによると、慢雾セキュリティチームは警告を発し、littleboyplusが脆弱性攻撃を受け、約377,642 USDT、約610.555 BNBの損失を被ったと発表しました。慢雾は、脆弱性の根本原因はlbphashrateコントラクトのupdate関数がゼロ金額のtransferfrom呼び出しによってトリガーされ、OpenZeppelinの承認チェックを回避できる点にあると述べています。攻撃者は取引所の承認を必要とせずに、LBPトークンを直接PancakePairアドレスに鋳造し、残高と準備金の不均衡を引き起こし、その後PancakePair.swapを通じてUSDTを引き出しました。