EraLend 漏洞：黑客从 zkSync 借贷协议窃取 340 万美元

EraLend 是一种在 zkSync 第 2 层上运行的去中心化借贷协议，已成为漏洞的受害者，导致损失 340 万美元。这次袭击是确认的 由 BlockSec 的安全分析师负责，他们一直在协助该协议解决该问题。

攻击发生后，EraLend 发布了一份陈述 承认安全事件并向用户保证威胁已得到遏制。该协议已暂停所有借贷操作，并建议用户不要存入 USDC，直至另行通知。

重入攻击袭击 EraLend

据 BlockSec 称，此次攻击是只读重入攻击。这种攻击涉及恶意行为者反复进入和退出合约函数以操纵合约的状态并提取资金。

重入攻击是一种可能发生在智能合约中的漏洞，智能合约是在以太坊等去中心化区块链网络上运行的自动执行计算机程序。

在重入攻击中，恶意用户通过在前一个函数调用完成之前重复调用合约中的函数来利用智能合约中的漏洞，从而允许他们操纵合约的状态并可能窃取资金。

当调用智能合约函数时，合约的状态会在函数调用完成之前更新。假设被调用函数在第一个函数调用完成之前与第二个合约交互。在这种情况下，第二个合约可以回调第一个合约的函数，可能会在原始函数调用完成之前多次更改合约的状态。

这可以让攻击者操纵合约的状态并窃取资金。

为了防止重入攻击，开发人员可以使用一种称为“检查-效果-交互”的技术。这意味着智能合约应始终在执行任何状态更改之前检查所有输入和条件，然后在与任何其他合约交互之前执行所有状态更改。

这确保了合约的状态在外部交互发生之前得到更新，从而防止重入攻击。在这种情况下，攻击者利用了 EraLend 合约代码中的漏洞，多次允许他们在协议不知情的情况下提取资金。

EraLend 已确定攻击的根本原因，并正在与合作伙伴和网络安全公司合作解决该问题。该协议向用户保证，它将采取一切必要措施来减轻攻击的影响并防止未来发生类似事件。

虽然没有进一步的更新，但很明显，EraLend 致力于维持最高的安全标准，并采取积极措施来保护用户的资金和数据。

1 日图表上加密货币总市值呈下降趋势，过去 2 天损失了 3 亿美元。来源：TradingView.com 上的总计