버신: AurumNodePool 컨트랙트가 changeRewardPerNode 기능이 검증되지 않아서 공격당했습니다.

2022년 11월 23일, 블록체인 보안 감사 업체인 Beosin의 Beosin EagleEye 보안 위험 모니터링, 조기 경보 및 차단 플랫폼 모니터링에 따르면 AurumNodePool 컨트랙트가 취약점 공격을 받았습니다. 버신 분석 결과 취약한 컨트랙트의 changeRewardPerNode 함수가 검증되지 않았기 때문에 공격자가 이 함수를 호출해 어떤 값이든 설정할 수 있는 것으로 나타났다. 공격자는 먼저 changeRewardPerNode 함수를 호출하여 일일 보상 값을 매우 큰 숫자로 설정한 다음 claimNodeReward 함수를 호출하여 노드 보상을 추출하고 노드 보상의 계산은 공격자가 설정한 rewardPerDay 값에 따라 달라지므로 결과적으로 매우 높은 계산된 노드 보상. 이 트랜잭션 이전에 공격자는 트랜잭션(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)을 통해 1000 AUR을 컨트랙트에 예치했으며, 이는 공격자의 노드 레코드를 생성하여 공격자가 노드 보상을 추출할 수 있도록 했습니다. 결국 공격자는 이 취약점을 통해 약 50 BNB(약 $14,538.04)를 획득했습니다.