Grim Finance遭遇3000万美元重入攻击,DeFi安全再敲警钟
协议漏洞导致大规模资金损失
12月18日,DeFi协议Grim Finance遭遇"高级攻击",损失价值约3000万美元的代币。项目方在推特上证实了这一消息,并表示:"漏洞出现在金库合约中,目前所有金库和存入的资金都处于风险之中。"
项目背景与运作机制
Grim Finance自称是一个"复合收益优化器",其承诺通过将用户从去中心化交易所获得的流动性提供者代币锁定在Grim金库中,从而为用户创造额外价值。在其协议文档中,Grim宣称:"帮助用户获得更多收益,无需烦恼。"该协议建立在Fantom Opera区块链之上,这是一个支持智能合约的平台,使用Solidity语言构建,并与以太坊兼容。
攻击手法分析
黑客使用了重入攻击技术。这种攻击方式允许攻击者在初始交易仍在进行时,伪造额外的存款进入金库,从而欺骗协议。Rugdoc.io(一个由智能合约审计师和投资者组成的DeFi监督组织)表示,Grim Finance本应更谨慎行事,并使用重入防护机制。该组织在推特上表示:"希望所有项目都能从这次事件中吸取教训,大多数经验丰富的Solidity开发者都掌握着大量知识。如果你还没有掌握这些知识,就不要构建价值数百万美元的项目。不要从那些众所周知无用的公司那里获取审计。"
项目方的应对措施
Grim Finance已经与Circle(USDC)、DAI和AnySwap取得联系,通知了攻击者地址,以期可能冻结进一步的资金转移。但攻击者已经通过稳定币转移忙于清洗非法所得。截至12月19日下午,Grim Finance已暂停所有金库存款,以防止进一步盗窃。
审计报告存在争议
Grim Finance曾分享过由Solidity Finance对其财务代币和金库合约进行的审计。根据Solidity Finance的报告,相关位置使用了ReentrancyGuard来防止重入攻击。然而,此次事件的发生使得这份审计报告的有效性受到质疑。