GaslessReservoirEnabler gehackt, 23.000 dollar buit

Een beveiligingsfout in het GaslessReservoirEnabler contract heeft aanvallers in staat gesteld om ruim 23.000 dollar aan cryptovaluta van bijna duizend gebruikers te stelen. De dader wist bestaande tokengoedkeuringen op WETH en ZED uit te buiten door middel van een gat in de verificatie van eigenaarschap.

In het kort:

• Een beveiligingsfout stelde een hacker in staat WETH en ZED tokens van 997 wallets af te nemen
• De gestolen middelen werden geconsolideerd en via een bridge naar Polygon overgebracht
• Het kwetsbare contract controleerde moduleadressen niet correct, wat willekeurige callers toestond tokenverdelingen uit te voeren

Hoe de aanval werkte

Het probleem lag in de erc20WithTransfersAndExecute functie van GaslessReservoirEnabler. Hoewel het contract wel controleerde welke moduleadressen mochten worden gebruikt, bond het de daadwerkelijke ERC20-transferinstructies niet aan een bevoegd eigenaar. Dit opende de deur voor aanvallers.

Een aanvaller kon zo gebruik maken van bestaande tokengoedkeuringen die gebruikers al aan het contract hadden gegeven. Door deze autoriteiten af te buigen konden WETH en ZED balansen rechtstreeks van slachtoffers naar de hacker worden overgemaakt, zonder dat nieuw vertrouwen hoefde te worden verleend.

Schade en vervolgstappen

In totaal werden tokens van 997 adressen getroffen. De atackertas, bekend onder het adres 0x46f54c1a86575679fc3d29666c1717e9786279aa, consolideerde alle buit en stuurde dit naar een brug richting Polygon. De beveiligingsonderneming SlowMist, die de aanval detecteerde en onderzocht, meldt dat de zaak nu bekend is in de community.