「ForesightNews」慢雾：Rubic 协议错误地将 USDC 添加进 Router 白名单，致授权给 RubicProxy 合约的用户的 USDC 被窃取

「ForesightNews」ForesightNews据慢雾安全团队报道，2022年12月25日，Rubic跨链聚合器项目受到攻击，导致用户账户USDC代币被盗。慢雾安全团队以简讯的形式分享如下：1.Rubic是一个DEX用户可以通过跨链聚合器RubicProxy合约中的routerCallNative函数进行Native代币兑换。在交换之前，将首先检查用户需要调用的目标Router是否在协议的白名单中。2.只有在白名单检查后，用户才会进入目标Router调用数据也由用户外部传输。3.但不幸的是USDC还添加了代币Rubic协议的Router所以任何用户都可以通过白名单RubicProxy任意调用合同USDC代币。因此，恶意用户利用这个问题routerCallNative函数调用USDC授权合同RubicProxy合同用户USDC代币通过transferFrom将接口转移到恶意用户账户。攻击的根本原因是Rubic协议错误USDC代币添加进Router在白名单中，授权被授权RubicProxy合同用户USDC代币被盗。