DeFi 協議 Abracadabra 遭駭，駭客「自己清算自己」獲利超 1,300 萬美元

根據安全公司派盾（PeckShield） 的報告，去中心化金融（DeFi）協議 Abracadabra/Spell 近期遭受駭客攻擊，導致價值數百萬美元的加密貨幣被盜。這次攻擊的目標是該協議的 「Cauldrons」智能合約，駭客成功利用漏洞，從流動性池中竊取 約 6,262 顆以太幣（ETH），總價值約 1,300 萬美元。

攻擊手法解析

AbracADAbra/Spell 的「Cauldrons」是一種智能合約，允許用戶透過去中心化交易所 GMX 的流動性池進行借貸。然而，這次攻擊針對 GMX V2 平台的「清算機制」進行操縱，導致資金被竊取。

加密研究員 Weilin（William）Li 在社群平台 X 上分析這次攻擊的運作方式：

閃電貸是一種特殊的 DeFi 借貸機制，允許用戶 在同一個區塊內借款並立即償還，而無需提供抵押品。駭客利用這項技術，通過「七步驟流程」來操縱 Abracadabra 的穩定幣 Magic Internet Money（MIM） 借貸與清算機制，從中獲取清算獎勵作為獲利來源。

Li 補充道：

GMX 平台是否有漏洞？

這次攻擊與 GMX V2 的交易機制有關。GMX 採用了「兩步驟交易機制」，也就是說，當用戶下單後，系統會先建立訂單，然後由特定的「Keepers」來執行交易，以防止「搶先交易（Front-running）」的問題。然而，這次攻擊可能利用了「訂單建立與執行之間的時間差」，成功干擾了借貸流程。

儘管如此，GMX 開發人員 @Jonas_ALA 在 X 平台上強調：

資金去向與歷史安全問題

目前，駭客已經將被盜資金從 Arbitrum 網路橋接到以太坊主網，這使得追蹤與追回資產變得更加困難。值得注意的是，這並非 Abracadabra 首次遭遇攻擊。2024 年 1 月，該協議的穩定幣 MIM 也曾被惡意操縱，導致約 650 萬美元的損失。

參考來源

Source