据慢雾安全团队情报，ETH链上的DFXFinance项目遭到攻击，攻击者获利约231,138美元。慢雾安全团队以简讯形式分享如下：
1.攻击者首先调用了名为Curve的合约中的viewDeposit函数来查看合约中的存款情况，之后根据返回的存款情况来构造合适的闪电贷需要借出的钱
2.紧接着继续Curve合约的flash函数进行闪电贷，因为该函数未做重入锁保护，导致攻击者利用闪电贷中的flashCallback函数回调了合约的deposit函数进行存款
3.存款函数外部调用了ProportionalLiquidity合约的proportionalDeposit函数，在该函数中会将第二步中借来的资金转移回Curve合约里，并且为攻击合约进行存款的记账，并且为攻击合约铸造存款凭证
美前检察官：监管机构通过SBF被捕向加密行业“传递信息”:金色财经报道，美国司法部证券和商品欺诈部门前检察官Renato Mariotti表示，FTX前首席执行官SBF的被捕为美国政府监管机构提供了一种向加密行业“发送信息”的方式。Mariotti谈到SBF的一系列媒体露面时说“从司法部的角度来看，SBF正在传播错误信息，并导致监管机构对监管市场缺乏信心。”Mariotti表示，SBF很可能会被当作加密行业需要更多监管的原因。加密行业可能会在短期内面临来自美国证券交易委员会(SEC)的“大量执法行动”。（CoinDesk）[2022/12/16 21:47:48]
4.由于利用重入了存款函数来将资金转移回Curve合约中，使得成功通过了闪电贷还款的余额检查
SBF：收购Voyager资产基于公平的市场价格，若收购Celsius资产将同样如此:10月3日消息，BnkToTheFuture 创始人 Simon Dixon 在社交媒体发文表示，FTX 正在以 320 亿美元的估值筹集资金以便收购 Celsius 的资产。
FTX 首席执行官 Sam Bankman-Fried（SBF）对此澄清：在收购Voyager资产中FTX的出价是基于公平的市场价格决定，并无折价；我们的目标不是通过以折价的方式购买资产来赚钱，而是为被收购方的每1美元都支付1美元，然后将每1美元都返还给客户。如果我们考虑收购Celsius资产，也是一样的。此前报道，FTX将在Voyager收购案中支付5100万美元现金，价值13.1亿美元的加密资产将按比例分配给债权人。（Cointelegraph）[2022/10/3 18:38:25]
5.最后调用withdraw函数进行取款，取款时会根据第三步存款时对攻击合约记账燃烧掉存款凭证，并以此成功取出约2,283,092,402枚的XIDR代币和99,866枚USDC代币获利
此次攻击的主要原因在于Curve合约闪电贷函数并未做重入保护，导致攻击重入了存款函数进行转账代币来通过闪电贷还款的余额判断，由于存款时有记账所以攻击者可以成功提款获利。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。