Kiểm tra quyền của OpenZeppelin bị bỏ qua, phòng thủ cổ điển không còn hiệu quả, anh em khi audit hãy cẩn thận hơn

Thông báo từ trang web币界网, nhóm an ninh慢雾 đã phát đi cảnh báo rằng, littleboyplus đã gặp phải cuộc tấn công khai thác lỗ hổng, thiệt hại khoảng 377.642 USDT, tương đương khoảng 610.555 BNB.慢雾 cho biết, nguyên nhân của lỗ hổng nằm ở chức năng update của hợp đồng lbphashrate có thể bị kích hoạt bởi cuộc gọi transferfrom với số tiền không đổi và bỏ qua kiểm tra ủy quyền của OpenZeppelin. Kẻ tấn công không cần ủy quyền từ sàn giao dịch có thể trực tiếp đúc token LBP vào địa chỉ PancakePair, gây mất cân bằng giữa số dư và dự trữ, sau đó thông qua PancakePair.swap rút USDT ra ngoài.