Superfluid Kontext-Manipulation

Am 8. Februar 2022 verlor das Money-Streaming-Protokoll Superfluid rund 8,7 Millionen Dollar, als ein Angreifer das „Context"-Objekt manipulierte, das Superfluids Host-Vertrag zwischen seinen Agreement-Verträgen weitergibt. Durch Fälschen des Kontexts fälschte der Angreifer die Aufruferidentität und führte privilegierte Stream-Operationen aus.

Was geschah

Superfluids Architektur leitet eine serialisierte ctx (Context)-Struktur durch callAgreement zwischen dem Host und den Agreement-Verträgen, die Aufruferidentität und Aufrufmetadaten trägt. Der Host validierte nicht ausreichend, dass ein vom Aufrufer gelieferter ctx authentisch war.

Der Angreifer konstruierte einen bösartigen Kontext, der msg.sender als privilegiertes/beliebiges Konto falsch darstellte, und nutzte ihn dann, um Agreement-Funktionen aufzurufen, die gestreamte Mittel wie autorisiert bewegten — und extrahierte ~8,7 Mio. $ in gemischten Vermögenswerten auf Polygon.

Nachwirkungen

• Superfluid patchte die Kontext-Validierung und pausierte betroffene Operationen.
• Ein bedeutsamer Teil wurde durch Verhandlung und die Reaktion des Teams zurückgewonnen.
• Superfluid veröffentlichte eine detaillierte Post-Mortem zur Kontext-Fälschungs-Wurzelursache.

Warum es zählt

Superfluid ist ein sauberer Fall dafür, warum jede vom Aufrufer gelieferte „Wer-bin-ich"-Metadata kryptographisch oder strukturell validiert werden muss, niemals vertraut. Die neuartige Streaming-Architektur des Protokolls führte ein neues Trust-Objekt (ctx) ein — und die neue Abstraktion führte die älteste Schwachstelle (Aufrufer-Spoofing) in neuer Form wieder ein. Die wiederkehrende Lehre des Katalogs: Jede neue architektonische Primitive ist eine frische Gelegenheit, Aufrufer-Authentifizierungs- und Access-Control-Bugs wieder einzuführen, weil die Primitive von der kollektiven Erfahrung des Ökosystems unauditiert ist, bis Vorfälle wie dieser sie lehren.