Beosin:Penpie遭到攻击损失约2700万美元资产攻击事件分析

根据 Beosin Alert 的监测,建立在 Pendle 上的 DeFi 协议 Penpie 遭遇黑客攻击,导致约 2700 万美元的加密资产被盗。Beosin 对此次事件进行了如下简析:

攻击者利用 market 合约中的 claimRewards 函数进行重入质押,以增加 staking 合约的余额,然后将多余的代币和质押资产提取出来以获取利润。

具体步骤如下:

1. 攻击者首先创建一个攻击合约,并通过官方的 factory 构建相应的 market 合约。

2. 调用 staking 合约的 batchHarvestMarketRewards 函数对该 market 进行奖励更新。

3. 在更新奖励时,会回调攻击合约的 claimRewards 函数,该函数通过重入利用闪电贷获取的资产进行质押,导致 staking 合约的资产数量产生差异,并将多余的部分提取出来。

4. 攻击者将质押的资产提取出来,并归还闪电贷,从而实现获利。

相关推荐