慢雾分析Poly Network被攻击根源：跨链合约Keeper可被黑客修改，随意构造交易

链捕手消息，安全分析团队慢雾发布Poly Network被攻击事件的分析报告。慢雾认为，该攻击瞄准的潜在漏洞是EthCrossChainData合约的keeper可以被EthCrossChainManager合约修改，而EthCrossChainManager合约的verifyHeaderAndExecuteTx函数可以通过_executeCrossChainTx函数来执行用户传入的数据。

因此，攻击者利用该函数传入精心构造的数据来修改EthCrossChainData合约的keeper，替换keeper角色的地址后，攻击者可以随意构造交易，从合约中提取任意数量的资金。而keeper的私钥泄漏并非该事件根源。

昨日，跨链互操作性协议Poly Network在以太坊、BSC与Polygon部署的智能合约同时遭到黑客攻击，价值超过5.9亿美元的USDC、ETH等资产被黑客转移。该攻击为DeFi迄今为止最严重的安全事故。（来源链接）