基于 ZkSync 的 Era Lend 在 DeFi 漏洞利用中损失 340 万美元

Era Lend 是一种在 zkSync Layer 2 上运行的去中心化借贷协议，成为重入攻击的最新受害者，导致损失 340 万美元，原因是确认的 由 BlockSec 的安全分析师提出。

该攻击利用了只读重入漏洞，该漏洞允许黑客在单笔交易中重复调用某个函数，从而提取超出其有权提取的资金。利用 Era Lend 所依赖的错误价格预言机，攻击者利用可重入漏洞进一步从协议中榨取资产。

通常，标记为只读的视图函数被认为是安全的，通常缺乏重入保护，因为它们不会改变合约的状态。术语“只读”表示该函数仅执行查看操作，例如根据第三方池的供应计算代币余额。此次事件中，第三方是另一家名为SyncSwap的去中心化交易所。然而，正如本案所示，这些功能可以被操纵以吸走大量资金。

BlockSec 联合创始人兼首席技术官 Lei Wu 告诉 The Block：“攻击者在 SyncSwap 的销毁/铸币行动中改变了 LP 的价格，利用其储备来确定 [Era Lend] 的 LP 价格。” “所有使用 SyncSwap 代码的项目都应该保持警惕。”

时代贷款回应

“我们检测到并确认我们的平台遭受了网络攻击。我们想向你们保证，攻击已被遏制，威胁行为者无法再继续他们的行动。”Era Lend 在一份声明中说道。陈述 在不和谐上。

它澄清，只有 USDC 池受到损害，而 USDC 以外的资产安全完好无损。

作为预防措施，团队建议用户暂时不要充值USDC。此外，该团队补充说，该平台上的借贷业务已暂时停止。