1inchハッカーは資金の大半を返還したが、パーサー契約の脆弱性は2年以上存在していた

BlockBeatsは3月9日、1inchチームが3月7日にFusion v1パーサースマートコントラクトの旧バージョンに脆弱性を発見し、その結果、約240万USDCと1,276WETH、合計500万米ドル以上が失われたと報じた。侵害されたオブジェクトは、Fusion v1 を使用するリゾルバ コントラクトのみでした。

Decurity セキュリティ チームの事後調査レポートによると、脆弱性は 2022 年 11 月に Solidity から Yul に書き換えられたコードに存在します。複数のセキュリティ チームによる監査にもかかわらず、脆弱性は 2 年以上もシステムに存在し続けています。事件後、攻撃者はオンチェーンメッセージを通じて「報奨金を受け取ることはできますか？」と尋ね、被害者であるTrustedVolumesと交渉しました。交渉が成功した後、攻撃者は3月5日の夕方から資金の返還を開始し、最終的に3月6日午前4時12分（UTC）に報奨金を除くすべての資金を返還しました。

Fusion V1 監査チームの 1 つである Decurity は、このインシデントについて内部調査を実施し、脅威モデルと監査範囲の明確化、監査中のコード変更のための追加時間の必要性、展開された契約の検証など、いくつかの教訓をまとめました。