Carbontec 在 1inch 路由器的救援功能中發現了 520,000 美元的漏洞路徑

Carbontec的一項調查顯示，超過520,000美元的錯誤發送代幣通過公共函數悄悄從1inch Routers v4–v6中提取，暴露了去中心化金融中最廣泛使用的合約之一的安全盲點。

1inch 路由器設計缺陷導致錯誤發送資金的提取

區塊鏈安全公司Carbontec發現了1inch的聚合路由器v6智能合約中的一個重大設計漏洞，這是一項關鍵的去中心化金融協議，幫助數百萬用戶進行代幣交換。問題在於？任何人都可以提取錯誤發送到該合約的代幣，而不僅僅是所有者。

根據與Bitcoin.com News共享的獨家消息，超過520,000美元的加密貨幣被非關聯方在路由器版本4、5和6之間轉移，包括4.2 WBTC，(約445K)的一筆交易。該漏洞源於公開可訪問的回調函數和路由器的邏輯，這些邏輯接受用戶定義的交換池。這些允許僞造交易，實際上在常規協議使用的幌子下洗淨資金提取。

與其被鎖定或僅能通過1inch檢索，錯誤發送的代幣變成了任何具有技術知識的人的公平遊戲。這不是一個編碼錯誤，而是一個節省燃料的設計權衡，低估了用戶行爲，並高估了通過模糊性帶來的合約安全性。

Carbontec的首席技術官Miroslav Baril分享了公司調查的一些想法。

這不僅僅是一個1英寸的問題；這是一個可能存在於其他去中心化金融協議中的系統性盲點。錯誤發送的代幣要麼無法找回，要麼只能由合約擁有者恢復的假設，造成了一種虛假的安全感和保障感。現實世界的風險往往不僅來自代碼中的漏洞，還來自設計模式。結構性協議設計的關鍵方面必須與安全性和誤用防範相平衡。

Carbontec的研究表明，這個問題不僅影響1inch，可能還會影響任何接受外部合約輸入或暴露內部交換回調的deFi協議。隨着數十萬用戶資金悄然被 siphoned，調查提出了關於deFi協議如何處理錯誤以及誰真正能夠訪問用戶資金的迫切問題。