Sharwa.Financeは攻撃を受け、146,000ドルを失いました MarginTrading契約は脆弱です

【コイン界】コイン界ネットは10月20日に、Sharwa.Financeが攻撃を受けたことを公表し、その後運営を停止しました。しかし、数時間後に再びいくつかの疑わしい取引が発生し、攻撃者はわずかに異なる攻撃経路を通じて、同じ基盤の脆弱性を利用した可能性があります。全体として、攻撃者はまず保証金アカウントを作成し、その後提供された担保を利用してレバレッジ貸出でより多くの資産を借り入れ、最終的に借入資産に関連する交換操作に対して「サンドイッチ攻撃」を仕掛けました。

根本原因は、MarginTrading契約のswap()関数に破産チェックが欠けていることのようです。この関数は、借りた資産をあるトークン（例えばWBTC）から別のトークン（例えばUSDC）に交換するために使用されます。この関数は、資産の交換が実行される前に、交換開始時のアカウントの状態に基づいて返済能力を検証するだけであり、操作プロセスに操作される余地を残しています。

攻撃者1（0xd356で始まる）が複数回の攻撃を行い、約6.1万ドルの利益を得ました。攻撃者2（0xaa24で始まる）が1回の攻撃を行い、約8.5万ドルの利益を得ました。