ChainCatcher news, secondo l'intelligence del team di sicurezza SlowMist, il progetto DFX Finance sulla catena ETH è stato attaccato e l'aggressore ha realizzato un profitto di circa 231.138 dollari. Il team di sicurezza di SlowMist ha condiviso quanto segue sotto forma di messaggio di testo:

1. L'aggressore chiama innanzitutto la funzione viewDeposit nel contratto denominata Curve per visualizzare lo stato del deposito nel contratto, quindi costruisce la quantità di denaro appropriata da prestare per il prestito flash in base allo stato del deposito restituito.

2. Quindi continuare la funzione flash del contratto Curve per eseguire prestiti flash Poiché questa funzione non ha una protezione di blocco del rientro, l'aggressore utilizza la funzione flashCallback nel prestito flash per richiamare la funzione di deposito del contratto per i depositi.

3. La funzione di deposito richiama esternamente la funzione proporzionaleDeposito del contratto ProportionalLiquidity. In questa funzione, i fondi presi in prestito nella seconda fase verranno trasferiti nuovamente al contratto Curve, il deposito verrà registrato per il contratto di attacco e il certificato di deposito verrà registrato. essere coniato per il contratto di attacco.

4. A causa del ripristino della funzione di deposito per trasferire nuovamente i fondi al contratto Curve, la verifica del saldo del rimborso del prestito flash è stata superata con successo.

5. Infine, richiama la funzione di prelievo per prelevare denaro. Durante il prelievo, il certificato di deposito verrà bruciato secondo la contabilità del contratto di attacco durante la terza fase di deposito e in questo modo verranno bruciati circa 2.283.092.402 token XIDR e 99.866 token USDC. verrà ritirato con successo per realizzare un profitto.

Il motivo principale di questo attacco è che la funzione di prestito flash del contratto Curve non ha una protezione dal rientro, il che fa sì che l'attacco rientri nella funzione di deposito per trasferire token per giudicare il saldo del rimborso del prestito flash poiché esiste una contabilità durante il deposito, l'aggressore può trarre profitto dai prelievi riusciti. (Link alla fonte)