PANews 11月23日消息，據慢霧安全團隊情報，ETH 鏈上的Numbers Protocol （NUM）代幣項目遭到攻擊，攻擊者獲利約13,836 美元。慢霧安全團隊以簡訊形式分享如下：

1. 攻擊者創建了一個惡意的anyToken 代幣，即攻擊合約（0xa68cce），該惡意代幣合約的底層代幣指向NUM 代幣地址；

2. 接著調用Multichain 跨鏈橋的Router 合約的anySwapOutUnderlyingWithPermit 函數，該函數的功能是傳入anyToken 並調用底層代幣的permit 函數進行簽名批准，之後兌換出擁有授權的用戶的底層代幣給指定地址。但是由於NUM 代幣中沒有permit 函數且擁有回調功能，所以即使攻擊者傳入假簽名也能正常返回使得交易不會失敗，導致受害者地址的NUM 代幣最終可以被轉出到指定的攻擊合約中；

3. 接著攻擊者將獲利的NUM 代幣通過Uniswap 換成USDC 再換成ETH 獲利；

此次攻擊的主要原因在於NUM 代幣中沒有permit 函數且具有回調功能，所以可以傳入假簽名欺騙跨鏈橋導致用戶資產被非預期轉出。

參考攻擊交易：https://etherscan.io/tx/0x8a8145ab28b5d2a2e61d74c02c12350731f479b3175893de2014124f998bff32