Beosin: Kontrak AurumNodePool diserang karena fungsi changeRewardPerNode tidak diverifikasi

Menurut pemantauan risiko keamanan Beosin EagleEye, peringatan dini dan pemantauan platform pemblokiran dari perusahaan audit keamanan blockchain Beosin, pada 23 November 2022, kontrak AurumNodePool diserang oleh kerentanan. Analisis Beosin menemukan bahwa karena fungsi changeRewardPerNode dari kontrak yang rentan tidak diverifikasi, penyerang dapat memanggil fungsi ini untuk menetapkan nilai apa pun. Penyerang pertama memanggil fungsi changeRewardPerNode untuk menetapkan nilai hadiah harian ke jumlah yang sangat besar, dan kemudian memanggil fungsi claimNodeReward untuk mengekstrak hadiah node, dan perhitungan hadiah node tergantung pada nilai rewardPerDay yang ditetapkan oleh penyerang, menghasilkan hadiah simpul yang dihitung sangat tinggi. Sebelum transaksi ini, penyerang menyetor 1000 AUR ke dalam kontrak melalui transaksi (0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d), yang membuat catatan node penyerang, yang memungkinkan penyerang mengekstrak hadiah node. Pada akhirnya, penyerang memperoleh sekitar 50 BNB (sekitar $14.538,04) melalui kerentanan ini.