Beosin EagleEye：Socket協定遭受攻擊者call注入攻擊，損失超300萬美元

Odaily星球日報訊據Beosin旗下EagleEye安全風險監控、預警與阻斷平台監控顯示，Socket協定遭受攻擊者call注入攻擊，導致大量授權用戶資金被竊。本次攻擊主要是由於Socket合約的performAction函數存在不安全的call呼叫。此函數功能是呼叫者可以將WETH兌換為ETH，並且呼叫者需要通過WETH的call將轉入合約的WETH兌換為ETH，否則將無法通過餘額檢查。照理說函數中的call呼叫只能呼叫WETH合約的withdraw函數，但是項目方未考慮到呼叫者轉入的WETH數量為0的情況，導致呼叫者可以在call中去呼叫其他指定函數，並且能通過餘額檢查。攻擊者透過建構calldata，呼叫任意代幣的transferfrom，將其他使用者授權給該合約的代幣轉移到攻擊者地址。目前攻擊者將被竊資金兌換為ETH，並保存在攻擊者地址上。 Beosin將對資金進行持續監控。被竊資金保存地址：https://eagleeye.space/address/0x50DF5a2217588772471B84aDBbe4194A2Ed39066。