安全实验室监测到以太坊上feiprotocol和RariCapital协议中的多个池子遭到重入攻击，导致损失超8000万美元。
知道创宇区块链安全实验室第一时间跟踪本次事件并分析。
基础信息
众所周知，compound项目的代码本就存在一些安全问题，而feiprotocol和RariCapital协议延用了compound的代码库，同时在doTransferOut()方法的实现中使用了存在重入的写法，导致了事件的发生。
赵长鹏：明确的监管框架至关重要，正积极与各地监管机构进行对话:金色财经报道，币安创始人赵长鹏在出席2023年香港Web3 Festival活动中谈及全球监管机构对加密货币的态度时表示，当一个行业发展到一定程度时，很容易出现损害其它人利益的行为，此时就需要监管的介入。但在行业发展初期，有时候严格监管会影响创新进程。监管机构试图用传统金融的监管手段对加密货币进行监管，但加密货币类型不一，有的像证券，有的像大宗商品，有的像公用 Token，监管机构需要有一些行业经验。就要求企业必须非常积极的去跟监管机构打交道，也需要一段时间才能够找到最佳的最优化的平衡。我们也在世界各国非常积极主动的跟监管机构交流打交道，包括香港。[2023/4/12 13:59:20]
因此次事件中的多次攻击方式相同，本文仅对一次攻击进行分析。
Coinbase首席法律官：欢迎SEC就加密货币监管展开对话:金色财经报道，针对美SEC主席Gary Gensler周四在其首次公开听证会上发表的讲话，加密货币交易所Coinbase首席法律官Paul Grewal在推特表示：“我们欢迎诸如此类的关于如何正确执行加密监管的对话。事实上，我们欢迎有任何机会分享我们自己的经验，包括哪些适用于消费者、用户和执法部门，哪些没用。”此前消息，Gary Gensler建议国会为加密交易所制定投资者保护措施。[2021/5/8 21:36:22]
攻击者地址：0x6162759edad730152f0df8115c698a42e666157f
区块链行业协会正尝试与SEC对话 讨论STaaS市场监管问题:5月14日消息，区块链行业协会POSA（The Proof of Stake Alliance）正与美国证券委员会（SEC）对话，以讨论Staking-as-a-Service（STaaS）市场监管问题。POSA预向SEC证明，采用股权证明(PoS)协议是有效和具有可扩展性的；并向SEC讨论其监管问题，包括要求STaaS供应商避免提供投资建议，避免提及金融行业术语（如“利益”,“红利”或“收益率”），并关注网络安全等。此前2019年8月，POSA协会是由多家区块链项目组成的行业协会，成员包括Interchain Foundation、Blockfolio等，协会致力于为美国立法者和监管机构提供关于区块链技术的教育。（Cointelegraph）[2020/5/14]
攻击合约：0x32075bad9050d4767018084f0cb87b3182d36c45
tx：0xadbe5cf9269a001d50990d0c29075b402bcc3a0b0f3258821881621b787b35c6
CEtherDelegator合约：0xfbD8Aaf46Ab3C2732FA930e5B343cd67cEA5054C
其次，合约在对用户进行借贷放款时，并未实行检查-生效-交互的模式，更新抵押资产价值在放款之后，使得攻击者能够在借款之后进行函数回调；
最为关键的一点是，攻击者在借款后调用了exitMarket()函数退出借款的市场，之后对抵押品进行赎回，由于此时攻击者已退出市场，因而协议不会计算这笔借款，所以能够成功赎回抵押品。
ETH，随后触发重入；
3、调用exitMarket()函数退出借款的市场，并取出抵押品；
4、归还闪电贷；
5、成功赖账套利，免费借出ETH；
6、最后，攻击者重复攻击手法对协议中的池子进行攻击，成功套利约8000万美元。
总结
本次攻击事件核心是协议引用了存在重入漏洞的compound代码库，导致合约发生重入攻击。
建议项目方在编写项目时，应始终使用检查-生效-交互的模式，并在合约中应用重入锁，在发送以太币时一定要限制gas或者使用thransfer()，一定不要使用存在安全问题的项目代码。
在此提醒项目方发布项目后一定要将私钥严密保管，谨防网络钓鱼，另外，近期，各类合约漏洞安全事件频发，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。