1inch黑客获取赏金后归还大部分资金
网络 阅读： 2025-03-09 10:46:01
消息，据 Decurity 安全团队报道，1inch 协议于 2025 年 3 月 5 日下午 5 点（UTC 时间）遭遇一次严重的 DeFi 攻击事件，黑客利用旧版 1inch Settlement 合约中的回调选项漏洞获取资金。
漏洞源于订单后缀处理中的数据损坏问题，攻击者能够覆盖解析器地址并调用任意解析器，导致做市商 TrustedVolumes 资金损失。根据 Decurity 团队分析，该漏洞存在于 2022 年 11 月从 Solidity 重写为 Yul 的代码中，尽管经过多家安全团队审计，但该漏洞仍在系统中存在超过两年。
事件发生后，攻击者通过链上消息询问"我能获得赏金吗？"，随后与受害方 TrustedVolumes 进行协商。谈判成功后，攻击者于 3 月 5 日晚间开始归还资金，最终在 3 月 6 日凌晨 4:12（UTC 时间）归还了除赏金外的全部资金。
Decurity 作为 Fusion V1 审计团队之一，对此事件进行了内部调查，并总结了几点教训，包括明确威胁模型和审计范围、对审计期间变更的代码要求额外时间、验证已部署合约等。
漏洞源于订单后缀处理中的数据损坏问题，攻击者能够覆盖解析器地址并调用任意解析器，导致做市商 TrustedVolumes 资金损失。根据 Decurity 团队分析，该漏洞存在于 2022 年 11 月从 Solidity 重写为 Yul 的代码中，尽管经过多家安全团队审计，但该漏洞仍在系统中存在超过两年。
事件发生后，攻击者通过链上消息询问"我能获得赏金吗？"，随后与受害方 TrustedVolumes 进行协商。谈判成功后，攻击者于 3 月 5 日晚间开始归还资金，最终在 3 月 6 日凌晨 4:12（UTC 时间）归还了除赏金外的全部资金。
Decurity 作为 Fusion V1 审计团队之一，对此事件进行了内部调查，并总结了几点教训，包括明确威胁模型和审计范围、对审计期间变更的代码要求额外时间、验证已部署合约等。
本文 原创，转载保留链接！网址：https://licai.bangqike.com/bixun/1070510.html
声明
1.本站遵循行业规范，任何转载的稿件都会明确标注作者和来源；2.本站的原创文章，请转载时务必注明文章作者和来源，不尊重原创的行为我们将追究责任；3.作者投稿可能会经我们编辑修改或补充。
