Контракт кастомного расширения Ekubo Protocol v2 атакован: потери достигли $1,4 млн

По данным ChainCatcher, компания по безопасности Blockaid (@blockaid_) сообщила о продолжающейся атаке на контракт кастомного расширения v2 Ekubo Protocol в сети Ethereum. Уже похищено около $1,4 млн. Как отмечает Blockaid, уязвимость связана с callback-функцией IPayer.pay в расширении: она некорректно ограничивает источник параметров, из-за чего злоумышленники могут подменять значения payer, token и amount. Это позволяет им выполнять произвольные переводы токенов, на расходование которых ранее было выдано одобрение. Пользователи основного протокола Ekubo не затронуты. Риск несут адреса, которые ранее одобрили этот контракт v2 в качестве spender. Blockaid рекомендует пострадавшим пользователям немедленно отозвать выданные approvals.