Beosin：跨链协议 LI.FI 的攻击者利用项目合约的 call 注入将用户授权给合约的资产转移

Techub News 消息，据 Beosin Alert 监控预警，跨链协议 LI.FI 遭受攻击，Beosin 安全团队表示漏洞原因是攻击者利用项目合约的 call 注入将用户授权给合约的资产转移。

LI.FI 项目合约存在一个 depositToGasZipERC20 函数，可将指定代币兑换为平台币并存入 GasZip 合约，但是在兑换逻辑处的代码未对 call 调用的数据进行限制，导致攻击者可利用此函数进行 call 注入攻击，提取走用户授权给合约的资产。

攻击者地址：0x8B3Cb6Bf982798fba233Bca56749e22EEc42DcF3

被攻击合约地址：0x1231DEB6f5749EF6cE6943a275A1D3E7486F4EaE

Beosin Trace 表示正在对被盗资金进行追踪。