День задач на канале

Сегодня я подготавливаю отчет для своего конкурсного аудита, поэтому на канале объявляется день задач.

Итак, первая: была помечена как High Risk на code4rena. Сможете понять в чем тут дело?

Решение

В этой задаче стоит обратить внимание не только на саму подпись (мы же помним, что с ними существует достаточное количество проблем?), но и на nonce.

Вроде бы, все правильно написано в коде. Но нет одной единственной проверки. Уже догадались?

Разработчики не проверяют return с call вызова. Это значит, что в случае неудачного вызова, nonce останется прежним, и хакер может использовать подпись с еще действующим nonce в своих целях.

Вот описание с code4rena.

#task #nonce