慢雾：Rubic协议错将USDC添至Router白名单，导致已授权合约用户USDC遭窃取

据慢雾安全团队报道，12月25日，Rubic跨链聚合器项目受到攻击，导致用户账户USDC被窃取。慢雾安全团队分享如下：1. Rubic是一个DEX用户可以通过跨链聚合器RubicProxy合约中的routerCallNative函数进行Native Token兑换。在交换之前，将首先检查用户需要调用的目标 Router是否在协议的白名单中。 2. 只有在白名单检查后，用户才会输入目标Router调用数据也由用户外部传输。 3. 不幸的是USDC也被添加到Rubic协议的Router所以任何用户都可以通过白名单RubicProxy任意调用合同USDC。 4. 恶意用户利用这个问题routerCallNative函数调用USDC授权合同RubicProxy合同用户USDC通过transferFrom将接口转移到恶意用户账户。 攻击的根本原因是Rubic协议错误USDC添加进Router在白名单中，授权被授权RubicProxy合同用户USDC被窃取。