据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，Polygon链上LibertiVault合约遭遇攻击，损失约123ETH和56,234USDT价值约29万美元，以及以太坊链上35ETH和96223USDT价值约16万美元，总共超45万美元。技术人员分析发现，本次攻击是由于LibertiVault合约存在重入漏洞所导致。
波卡生态系统7支团队成立维护社区道德规范的Polkadot联盟:11月29日消息，据波卡DeFi平台Acala官方博客，Polkadot生态系统的Acala、Astar、Interlay 、KILT Protocol、Moonbeam、Subscan和Phala 七支团队宣布成立Polkadot联盟，旨在建立和维护一套供社区遵循的道德规范。联盟将存在于链上，并将在链上发布其对不法网站和账户的调查结果。但它不会有任何治理权；它的范围不涉及Polkadot协议的其他部分。
联盟成员由公司、项目、其他集体，甚至是Polkadot生态系统中的其他网络组成。会员资格分为两层：伙伴（Fellow）和盟友（Ally）。伙伴对联盟议案拥有投票权，并进行链上操作。盟友是波卡联盟的成员，没有投票权。[2022/11/29 21:09:23]
1、攻击者使用闪电贷借出500万USDT，调用LibertiVault合约deposit函数进行质押，其质押逻辑会将质押的代币一部分用于兑换，然后再计算铸币数量，铸币数量是根据和合约本次存入代币量与合约存入之前的余额比例来进行计算的。
Polkadot 0.9.3版本正式发布:据官方消息，波卡Polkadot 0.9.3版本已经正式发布，具有高度升级优先性，各节点应尽快进行升级。该版本引入polkadot代码替代，针对rustc 1.51.0和rustc 1.53.0-nightly进行了测试。[2021/5/27 22:47:50]
2、而兑换操作swap会调用黑客的合约，此时黑客第一次重入调用deposit，并在此函数中二次重入，向合约打入250万USDT。
P网Poloniex近期正在进行TRX整合工作:据最新消息显示，P网Poloniex官网已经可以正常访问，近期还将推出平行站供用户访问，TRX整合工作也已经开始，近期就会完成，将对P网性能进行升级优化。
P网（Poloniex）成立于2014年，是注册于塞舌尔的一家全球化数字资产交易平台，自Poloniex创立以来，真实交易量长期位列全球TOP3，推出的TrollBox系统能够为用户提供良好的交易体验。P网致力于重构全球信任体系，让交易触达每个角落，解放价值，使价值自由流动。[2020/4/24]
3、二次重入结束后，合约会按照250万USDT与之前合约的USDT余额比值为黑客铸币，第一次重入的deposit函数运行结束后，黑客又向其中打入了250万USDT。
4、此时，执行完了外层deposit函数中的兑换操作，合约又会按照250万USDT与合约USDT余额比值进行铸币。
5、问题就出在第四点，按理来说，第二次计算合约余额应该是之前的余额加上第一次打入的250万余额来作为本次计算的参数，但这里是使用的重入的形式，合约余额在最开始就已经获取了，所以参数并未改变，还是使用的原来的余额进行计算，导致给黑客铸了大量的凭证代币。
6、最后黑客移除凭证代币，归还闪电贷获利。
Beosin
企业专栏
阅读更多
金色财经
金色荐读
Block unicorn
金色财经 善欧巴
区块链骑士
Foresight News
深潮TechFlow
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。