扫码下载 APP
qrCode
更多下载方式
今天不再提醒

慢雾:yearn遭遇攻击的根本原因是Yearn yETH加权稳定币交换池合约存在不安全的数学运算

金色财经报道,据SlowMist监测,12 月 1 日,去中心化金融协议yearn遭遇黑客攻击,造成约 900 万美元损失。慢雾安全团队对该事件进行了分析,确认根本原因如下: 漏洞源于Yearn yETH加权稳定币交换池(Weighted Stableswap Pool)合约中用于计算供应量的 calcsupply 函数逻辑。由于存在不安全的数学运算,该函数在计算过程中允许溢出和舍入误差,导致新供应量与虚拟余额的乘积计算出现显著偏差。攻击者利用此缺陷可将流动性操控至特定数值,并超额铸造流动性池(LP)代币,从而非法获利。 建议加强边界场景测试,并采用经过安全验证的算术运算机制,以防范同类协议中此类溢出等高危漏洞。

此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 评论
  • 转发
  • 分享
评论
0/400
暂无评论
交易,随时随地
qrCode
扫码下载 Gate App
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)