Beosin: DeFi レンディング プロトコルの感情 盗まれた資金のほとんどはまだ攻撃者のアドレスにあります

ブロックチェーン セキュリティ監査会社 Beosin のセキュリティ リスク監視、早期警告、ブロック プラットフォーム Beosin EagleEye の分析によると、今朝攻撃された DeFi 貸出契約 Sentiment は、0.5 WBTC を含む約 100 万米ドルの資産を盗みました。 WETH、53.8 10,000 USDC および 360,000 USDT。現在、盗まれた資金のほとんどは依然として攻撃者のアドレスにあります。その攻撃の理由は、再突入による価格エラーです。 Beosin のセキュリティ チームはこのインシデントを分析しました。 2. その後、"exitPool" を呼び出してプレッジを取得します. このプロセス中に、Balancer Vault は攻撃者に eth を送信して、攻撃コントラクトのフォールバック関数を呼び出します.この関数では、攻撃者は 0x62c5 コントラクトの借用関数を呼び出します。これは、Balancer Vault.getPoolTokens() によって返されたデータに基づいて価格を計算する必要があります。現在、攻撃者の「exitPool」プロセス中に、プール内の総供給量が減少しましたが、データは更新されていません.攻撃者は、このデータエラーを利用して、より多くの資産を貸し出して利益を上げています.