zkSync Era上的“滑鐵盧”事件?簡析EraLend閃電貸攻擊

在2023 年7 月25 日,zkSync Era-based 借貸協議EraLend 宣布發生了一起安全事件。在初步調查後,CertiK 發現EraLend 遭到了只讀可重入攻擊,導致總損失約270 萬美元。

事件概要

EraLend 在ZkSync 主網上遭受了只讀可重入攻擊。該攻擊由地址0xf1D07 執行,攻擊者利用了閃電貸去操控EraLend 價格預言機。 EraLend 使用Syncswap 交易對作為價格預言機,其中存在只讀可重入漏洞。攻擊者能夠銷毀代幣,並在_updateReserves 被調用之前進行回調,導致預言機基於未更新的儲備計算價格。

EraLend 團隊發布了一份聲明,稱「攻擊已經得到控制,攻擊者不能再能夠繼續他們的行動。目前正在評估影響的範圍,之後將進一步公佈。」建議用戶目前不要向EraLend 存入USDC。

資產追踪

CertiK 追踪到被盜資金被轉移到多個由攻擊者控制的EOA(Externally Owned Address)地址上,涉及以太坊、Arbitrum 和Optimism 網絡。其中大部分資金被整合到以太坊網絡的四個錢包中。

zkSync Era上的“滑鐵盧”事件?簡析EraLend閃電貸攻擊

有關重入攻擊

2020 年數據:

  • 總損失金額:$62,936,849.00
  • 總重入攻擊次數:6
  • 平均每次攻擊損失金額(USD):$10,489,474.83

2021 年數據:

  • 總損失金額:$67,924,596.28
  • 總重入攻擊次數:7
  • 平均每次攻擊損失金額(USD):$9,703,513.75

2022 年數據:

  • 總損失金額:$18,403,869.53
  • 總重入攻擊次數:8
  • 平均每次攻擊損失金額(USD):$2,300,483.69

2023 年數據:

  • 總損失金額:$14,121,542.00
  • 總重入攻擊次數:7
  • 平均每次攻擊損失金額(USD):$2,017,363.14

閃電貸攻擊:日益增長的威脅

在2023 年,加密貨幣和區塊鏈領域的閃電貸攻擊日益令人擔憂。與2022 年的101 起攻擊相比,今年已經發生了128 起事件。這些攻擊利用智能合約的漏洞來最大化利潤。

閃電貸允許用戶在無抵押品的情況下借取大額資金,但必須在同一筆交易內還清貸款。攻擊者濫用了這一特性,導致迄今為止總計2.55 億美元的損失,平均每起事件損失約為200 萬美元。

在7 月的頭三週內,已經發生了22 起攻擊,導致損失850 萬美元,而2023 年每月平均閃電貸攻擊為18 起。 7 月和2023 年2 月各自創下了每月22 起攻擊的記錄。這凸顯了理解DeFi 風險和在加密貨幣領域構建更安全的智能合約的重要性。警惕和預防是在這個波動的領域中安全航行的必要條件。

zkSync Era上的“滑鐵盧”事件?簡析EraLend閃電貸攻擊

2023 年閃電貸攻擊損失金額(按月度)

zkSync Era上的“滑鐵盧”事件?簡析EraLend閃電貸攻擊

2023 年閃電貸攻擊損失數量(按月度)

總結

EraLend 是7 月發生的第二大可重入攻擊事件,本月由於閃電貸攻擊共損失640 萬美元。

到目前為止,7 月份已經發生了3 次可重入攻擊。 7 月份可重入攻擊的總損失為640 萬美元,平均每次攻擊損失210 萬美元。截至2023 年,已經發生了7 次可重入攻擊,總損失約為1410 萬美元,平均每次攻擊損失200 萬美元。值得注意的是,今年的數據至今僅統計到7 月份,截至目前8 月至12 月尚未報告有關的攻擊或損失。到目前為止,2023 年的總損失可能超過2022 年的總損失,甚至可能達到2021 年的水平,因為截止到年底還有5 個月的時間。

Total
0
Shares
Related Posts