bonfireswap

ChainCatcher 消息，据慢雾安全团队披露，BonfireSwap 路由器合约因 transfer 函數存在訪問控制缺失，導致約 5 萬美元損失。該函數未校驗調用者是否為 from 地址，也未核驗調用者對 from 地址資產的授權，攻擊者因此可將已預先授權路由器的用戶設置為 from 地址、將自身設為 to 地址，進而轉走受害者 TOKEN 並通過同代幣池兌換。慢雾稱，共有 41 名曾授權該路由器的 TOKEN 持有人受影響；漏洞合約地址為 0x17e801e17cefc6334059189c178d4783830e03d3。