Odaily星球日报讯 X用户@0xBoboShanti声称，Fantom生态项目Hector Network的赎回合约疑似被攻击，损失约270万美元。Hector Network于1月15日部署新合约以实现清算，并将1100万美元资产从多重签名地址转移到HectorRedemptionTreasury合约。
@0xBoboShanti表示：“要从HectorRedemptionTreasury接收资金，用户需要在TokenVault合约上调用mintWithdraw(…)，这将需要：从recipientTokens映射中检索用户的redeemAmount；调用内部_mintWithdraw()；_mintWithdraw()铸造一个NFT，之后将资金从HectorRedemptionTreasury转移到用户，再销毁NFT。在_mintWithdraw()中有条件检查。最值得注意的是，它要求接收者存在于eligibleWallets映射中。那么，如果用户不在符合条件的钱包名单中，他们是如何赎回270万美元的呢？为什么他们的redeemAmount（从recipientTokens映射中获得）是270万美元呢？这是因为部署者明确地将这个钱包添加到映射中……收到USDC后，该钱包迅速通过UniswapX将270万枚USDC兑换为1100枚ETH。440枚ETH被发送到一个新的钱包，然后其中358枚ETH被发送到另外4个新的钱包。不久之后，Hector Network多重签名地址在HectorRedemptionTreasury上调用了withdrawAll()，将剩余的900万枚USDC返还给多重签名地址。由于钱包是由部署者明确添加到TokenVault合约中的，因此最有可能的解释是私钥泄露或流氓开发人员。”
