BlockSec：Sharwa.Finance가 여러 차례 공격을 받아 14만 달러 이상의 손실을 입었습니다

ChainCatcher 메시지에 따르면, 시장 소식에 의하면 Sharwa.Finance가 공격을 받았다고 밝혔으며, 이후 운영을 중단했습니다. 그러나 몇 시간 후 여러 건의 의심스러운 거래가 발생했으며, 공격자는 약간 다른 공격 경로를 통해 동일한 기본 취약점을 이용했을 가능성이 있습니다.

전반적으로 공격자는 먼저 마진 계좌를 생성한 다음, 제공된 담보를 이용해 레버리지 대출로 더 많은 자산을 빌린 후, 빌린 자산과 관련된 교환 작업에 대해 "샌드위치 공격"을 시작했습니다.

근본 원인은 MarginTrading 계약의 swap() 함수에 파산 검사 기능이 누락된 것으로 보이며, 이 함수는 빌린 자산을 한 종류의 토큰(예: WBTC)에서 다른 종류의 토큰(예: USDC)으로 교환하는 데 사용됩니다. 이 함수는 자산 교환이 실행되기 전에 교환 시작 시의 계좌 상태에 따라 지급 능력을 검증하기 때문에, 작업 과정에서 조작될 여지를 남깁니다.

공격자 1(0xd356로 시작)은 여러 차례 공격을 감행하여 약 6.1만 달러를 이익을 얻었습니다. 공격자 2(0xaa24로 시작)는 한 차례 공격을 감행하여 약 8.5만 달러를 이익을 얻었습니다.