🎉 #Gate Alpha 第三届积分狂欢节 & ES Launchpool# 聯合推廣任務上線!
本次活動總獎池:1,250 枚 ES
任務目標:推廣 Eclipse($ES)Launchpool 和 Alpha 第11期 $ES 專場
📄 詳情參考:
Launchpool 公告:https://www.gate.com/zh/announcements/article/46134
Alpha 第11期公告:https://www.gate.com/zh/announcements/article/46137
🧩【任務內容】
請圍繞 Launchpool 和 Alpha 第11期 活動進行內容創作,並曬出參與截圖。
📸【參與方式】
1️⃣ 帶上Tag #Gate Alpha 第三届积分狂欢节 & ES Launchpool# 發帖
2️⃣ 曬出以下任一截圖:
Launchpool 質押截圖(BTC / ETH / ES)
Alpha 交易頁面截圖(交易 ES)
3️⃣ 發布圖文內容,可參考以下方向(≥60字):
簡介 ES/Eclipse 項目亮點、代幣機制等基本信息
分享你對 ES 項目的觀點、前景判斷、挖礦體驗等
分析 Launchpool 挖礦 或 Alpha 積分玩法的策略和收益對比
🎁【獎勵說明】
評選內容質量最優的 10 位 Launchpool/Gate
OrionProtocol遭重入攻擊 損失290萬美元 ETH和BSC雙鏈受影響
OrionProtocol遭受重入攻擊事件分析
2023年2月2日下午,以太坊和幣安智能鏈上的OrionProtocol因合約漏洞遭到重入攻擊,造成約290萬美元的損失。攻擊者利用自創代幣合約的回調功能,在交易過程中重復調用存款函數,導致資金被錯誤累加後提取。
攻擊過程
攻擊者首先創建了一個自定義Token合約,並進行了必要的轉移和授權操作。
攻擊者通過某DEX的swap方法借款,然後調用ExchangeWithAtomic.swapThroughOrionPool方法進行代幣兌換。兌換路徑設置爲USDC -> 攻擊者創建的Token -> USDT。
在兌換過程中,攻擊者的Token合約利用transfer函數觸發回調,重復調用ExchangeWithAtomic.depositAsset函數,導致存款金額被錯誤累加。
最後,攻擊者通過withdraw函數提取超額資金,完成攻擊。
漏洞分析
漏洞主要存在於ExchangeWithAtomic合約的doSwapThroughOrionPool和_doSwapTokens函數中。關鍵問題在於:
這導致攻擊者可以在curBalance更新前重復調用depositAsset函數,造成資金計算錯誤。
攻擊影響
資金流向
攻擊者獲利的1,651枚ETH中,657.5枚仍留在錢包地址,其餘已通過某混幣服務轉移。初始資金來源於某交易平台的熱錢包帳戶。
安全建議
本次事件再次提醒項目方,在開發涉及資金交互的智能合約時,必須高度重視安全性,採取全面的防護措施,最大限度地降低合約風險。