多链兑换协议Rubic遭到黑客攻击，损失超140万美元

12月25日消息，据安全机构PeckShield监测，多链兑换协议Rubic遭到黑客攻击，损失超140万美元，攻击者已将1100枚ETH转入Tornado Cash混币协议。

慢雾安全团队分析了该被盗过程，认为此次攻击的根本原因在于 Rubic 协议错误的将 USDC 代币添加进 Router 白名单中，导致已授权给 RubicProxy 合约的用户的 USDC 代币被窃取。详情如下：

1. Rubic 是一个 DEX 跨链聚合器，用户可以通过 RubicProxy 合约中的 routerCallNative 函数进行 Native 代币兑换。在进行兑换前，会先检查用户传入的所需调用的目标 Router 是否在协议的白名单中。2. 经过白名单检查后才会对用户传入的目标 Router 进行调用，调用数据也由用户外部传入。3. 但不幸的是 USDC 代币也被添加到 Rubic 协议的 Router 白名单中，因此任意用户都可以通过 RubicProxy 合约任意调用 USDC 代币。4. 因此恶意用户利用此问题通过 routerCallNative 函数调用 USDC 合约将已授权给 RubicProxy 合约的用户的 USDC 代币通过 transferFrom 接口转移至恶意用户账户中。

参考：Exploit tx USDC to available router

推荐阅读

蓝电E5新用户反馈：价格实惠之外，亮点连连

蓝电E5新用户揭秘：不止价格优惠，还有更多惊喜

提台车成为你的致富好搭档，不到5万买风光380，这些优势很实用！

提台车成为你的致富好搭档；不到5万买风光380，这些优势很实用！

提台车成为你的致富好搭档；不到5万买风光380，这些优势很实用！

提台车成为你的致富好搭档；不到5万买风光380，这些优势很实用！

提台车成为你的致富好搭档，不足5万买风光380，这些优势很实用！

作为10万元级插混SUV的“独苗”；蓝电E5的真实用户口碑到底怎么样！

作为10万级插混SUV的“独苗”，蓝电E5的真实用户口碑到底怎么样！

作为10万元级插混SUV的“独苗”，蓝电E5的真实用户口碑到底怎么样