慢雾：Rubic协议错将USDC添至Router白名单，致授权合约用户USDC遭窃取

BlockBeats 消息，12 月 25 日，据慢雾安全团队情报，2022 年 12 月 25 日，Rubic 跨链聚合器项目遭到攻击，导致用户账户中的 USDC 被窃取。慢雾安全团队以简讯的形式分享如下： 1. Rubic 是一个 DEX 跨链聚合器，用户可以通过 RubicProxy 合约中的 routerCallNative 函数进行 Native Token 兑换。在进行兑换前，会先检查用户传入的所需调用的目标 Router 是否在协议的白名单中。 2. 经过白名单检查后才会对用户传入的目标 Router 进行调用，调用数据也由用户外部传入。 3. 不幸的是 USDC 也被添加到 Rubic 协议的 Router 白名单中，因此任意用户都可以通过 RubicProxy 合约任意调用 USDC。 4. 恶意用户利用此问题通过 routerCallNative 函数调用 USDC 合约将已授权给 RubicProxy 合约的用户的 USDC 通过 transferFrom 接口转移至恶意用户账户中。 此次攻击的根本原因在于 Rubic 协议错误的将 USDC 添加进 Router 白名单中，导致已授权给 RubicProxy 合约的用户的 USDC 被窃取。