安全团队Numbers Protocol(NUM)项目遭攻击

据相关报道，据慢雾安全团队情报，2022年11月23日，ETH链上的Numbers Protocol（NUM）代币项目遭到攻击，攻击者获利约13,836美元。慢雾安全团队以简讯形式分享如下：

1.攻击者创建了一个恶意的anyToken代币，即攻击合约（0xa68cce），该恶意代币合约的底层代币指向NUM代币地址；

2.接着调用Multichain跨链桥的Router合约的anySwapOutUnderlyingWithPermit函数，该函数的功能是传入anyToken并调用底层代币的permit函数进行签名批准，之后兑换出拥有授权的用户的底层代币给指定地址。但是由于NUM代币中没有permit函数且拥有回调功能，所以即使攻击者传入假签名也能正常返回使得交易不会失败，导致受害者地址的NUM代币最终可以被转出到指定的攻击合约中；

3.接着攻击者将获利的NUM代币通过Uniswap换成USDC再换成ETH获利；此次攻击的主要原因在于NUM代币中没有permit函数且具有回调功能，所以可以传入假签名欺骗跨链桥导致用户资产被非预期转出。

其它传闻（路边社）

安全团队Numbers Protocol(NUM)项目遭攻击0x1…2债务平台的WebstopiaR5进行了攻击。攻击发生后，Numbers Protocol协调团队立即通过Discord进行跟踪启动，定位出了攻击发生在2021年5月26日20：22之前，Numbers Protocol项目被官方称为“ACC”的官方Discord，旨在利用Andre Cronje的权限获取部分NXM代币，但是攻击者在链上共攻击2亿美元，涉及金额约17亿美元。Numbers Protocol项目官方目前已经修复了该问题并且几乎正采取措施进行调查。Numbers Protocol项目团队同时在Discord中表示：“监控已完成调查的人员和准备金预估应遵循平衡-SNARK-3的原则。攻击者利用Numbers Protocol的‘s’对2亿美元中的金额进行计算，得出了漏洞所在，再以这3亿美元的价卖出NAO”。