Slow Mist: DFX Finance는 심각한 취약점으로 공격을 받았고 공격자는 $230,000 이상의 수익을 올렸습니다.

SlowMist 보안 팀의 인텔리전스에 따르면 2022년 11월 11일 ETH 체인의 DFX 금융 프로젝트가 공격을 받았으며 공격자는 약 US$231,138의 수익을 냈습니다. SlowMist 보안팀은 다음과 같은 내용을 문자 메시지 형태로 공유했습니다. 1. 공격자는 먼저 Curve라는 컨트랙트에서 viewDeposit 함수를 호출하여 컨트랙트 내 입금 상태를 확인하고, 반환된 보증금을 기반으로 적절한 플래시론을 구성했습니다. Qian 2. 그런 다음 Curve 컨트랙트의 플래시 기능으로 플래시론을 계속 진행하는데, 이 기능은 재진입 잠금으로 보호되지 않기 때문에 공격자는 플래시론의 flashCallback 기능을 사용하여 계약의 예금 기능을 콜백합니다. 3. 입금 기능이 외부에서 호출됨 ProportionalLiquidity 계약의 proportionalDeposit 기능으로 두 번째 단계에서 빌린 자금이 Curve 계약으로 다시 이체되고 공격 계약에 대한 입금이 기록되고 입금 공격 계약에 대한 인증서가 발행됩니다.예금 기능을 사용하여 자금을 Curve 계약으로 다시 이체하여 번개 대출 상환의 잔액 확인을 성공적으로 통과했습니다.이로 약 2,283,092,402개의 XIDR 토큰과 99,866개의 USDC 토큰이 성공적으로 출금되었습니다. .이 공격의 주된 이유는 Curve 계약의 플래시론 기능에 재진입 보호 기능이 없었기 때문에 토큰을 전송하기 위한 입금 기능의 재진입으로 이어졌습니다.플래시론 상환 잔액으로 판단하면, 입금시 계좌가 있기 때문에 공격자는 성공적으로 돈을 인출하고 수익을 낼 수 있습니다.