慢雾：Polkatrain出现薅羊毛事故，套利者可通过调用 swap 函数薅取返佣奖励

据慢雾区消息，波卡生态 IDO 平台 Polkatrain 于今早发生事故，慢雾安全团队第一时间介入分析，并定位到了具体问题。本次出现问题的合约为 Polkatrain 项目的 POLT_LBP 合约，该合约有一个 swap 函数，并存在一个返佣机制，当用户通过 swap 函数购买 PLOT 代币的时候获得一定量的返佣，该笔返佣会通过合约里的 _update 函数调用transferFrom 的形式转发送给用户。由于 _update 函数没有设置一个池子的最多的返佣数量，也未在返佣的时候判断总返佣金是否用完了，导致恶意的套利者可通过不断调用 swap 函数进行代币兑换来薅取合约的返佣奖励。