Вразливість контракту SynapLogic спричинила великі арбітражні операції: відсутність перевірки параметрів призвела до надмірного зняття

【链文】有個 контракт безпеки, який заслуговує на увагу. Функція swapExactTokensForETHSupportingFeeOnTransferTokens у SynapLogic має серйозну вразливість — відсутність важливої перевірки валідності параметрів.

Зловмисник використав цю вразливість для чого? Обійшов механізм білого списку, самостійно вказав адресу отримання прибутку, і безпосередньо отримав виведені кошти. Ще більш вражаюче — контракт не перевірив загальний розподіл нативних токенів, що дозволило зловмиснику одночасно отримати прибуток з двох джерел: по-перше, перевищивши ліміт виведення нативних токенів, і по-друге, отримавши новостворені токени SYP. Обидва способи одночасно.

Результатом стало те, що близько 186 000 доларів США були безпосередньо виведені. Цей випадок ще раз нагадує розробникам — при обробці переказів токенів і логіки білого списку не можна нехтувати перевіркою меж параметрів, а також обов’язково потрібно перевіряти ліміт суми. Невелика помилка у деталях іноді стає великою вразливістю.