币圈小当家
2025-07-10 12:48:02
7 月 9 日,去中心化交易平台 GMX 的 V1 系统在 Arbitrum 网络上遭遇攻击。攻击者利用合约内部的漏洞从 GLP 流动性池中转出大约 4200 万美元资产。GMX 在事后已暂停该平台交易,并对 GLP 的铸造和赎回功能进行封锁。攻击未波及 GMX 的 V2 系统或原生代币,但该事件再次引发关于 DeFi 协议内部资产管理机制的讨论。
安全公司 PeckShield 和慢雾分析表明,攻击者利用了 GMX V1 在计算 AUM 处理逻辑中的一个缺陷。该缺陷导致合约在开设空头仓位后立即更新全局平均价格。攻击者借此构建了定向操作路径,实现代币价格操控和套利赎回。
攻击者将约 965 万美元资产从 Arbitrum 转移至以太坊,再兑换为 DAI 和 ETH。其中部分资金流入混币协议 Tornado Cash。剩余约 3200 万美元资产仍在 Arbitrum 网络中,涉及 FRAX、wBTC、DAI 等代币。
在事件发生后,GMX 在链上向黑客地址进行喊话,请求返还 90% 的资金,愿意提供 10% 的白帽赏金。而根据链上最新数据显示,GMX 黑客已经把从 GMX V1 池盗取的资产换成 ETH。
黑客盗取的资产有 WBTC/WETH/UNI/FRAX/LINK/USDC/USDT,目前除 FRAX 外的其它资产都已经卖出换成了 11,700 枚 ETH(约合 3233 万美元)并分散到了 4 个钱包进行存放。所以 GMX 黑客现在是通过 5 个钱包持有 11,700 枚的 ETH(约合 3233 万美元)跟 1049.5 万的 FRAX。价值约合 4280 万美元。
余烬分析称,黑客的这番操作,应该也意味着拒绝了 GMX 项目方提出的偿还资产拿 10% 白帽赏金的方案。
安全公司指出,攻击者并未依赖合约未授权访问或绕过权限控制,而是直接基于预期逻辑操作函数,并利用状态更新时间差在执行期内反复调用函数,即典型的重入操作。
慢雾称,这次袭击的根本原因在于 GMX v1 版本存在设计缺陷,空头仓位操作会立即更新全局空头平均价格(globalShortAveragePrices),这直接影响资产管理规模(AUM)的计算,从而导致 GLP 代币定价被操纵。攻击者利用 Keeper 在订单执行期间启用「timelock.enableLeverage」的功能(这是创建大量空头仓位的先决条件)来利用此设计漏洞。通过重入攻击,攻击者成功建立了大量空头仓位,操纵全局平均价格,在单笔交易中人为抬高 GLP 价格,并通过赎回操作获利。
这类攻击并非首次出现在 DeFi 项目中。合约处理余额或仓位更新滞后于资产铸造或赎回时,可能暴露出短暂的不一致状态,被攻击者构造操作路径并提取未抵押资产。GMX V1 使用共享资金池设计,由多个用户资产构成统一 vault,由合约控制账户信息和流动性状态。GLP 是该池的代表性 LP 代币,其价格和兑换比率由链上数据和合约逻辑动态计算。这类合成代币系统存在可观察的风险,包括套利空间放大、操控空间形成、状态跨调用间滞后等。
GMX 官方在攻击发生后迅速发布声明,表示此次攻击仅影响 V1 系统及其 GLP 资金池。GMX V2、原生代币及其他市场未受影响。为防止后续可能攻击,团队已暂停 V1 上交易操作,禁用 Arbitrum 和 Avalanche 上的 GLP 铸造和赎回功能。
团队还声明其当前工作重点为恢复操作安全性和审计合约内部机制。V2 系统未继承 V1 的逻辑结构,采用不同的清算、报价和仓位处理机制,风险敞口有限。
GMX 代币在攻击发生后 24 小时内下跌超过 17%,从约 14.42 美元最低跌至 10.3 美元,当前略有回升,现报 11.78 美元。该事件发生前,GMX 全网累计交易量超过 305 亿美元,注册用户超过 71 万,未平仓合约规模超过 2.29 亿美元。
GMX 攻击并非孤例。2025 年以来,加密货币行业因黑客攻击累计损失已超过去年同期水平。虽然第二季度事件数量下降,但这并不意味着风险已经缓解。CertiK 报告指出,2025 年上半年,由黑客、诈骗和漏洞利用造成的总损失已超过 24.7 亿美元,较 2024 年被盗的 24 亿美元同比增长近 3%。Bybit 冷钱包被盗和 Cetus DEX 遭入侵两起大规模共计造成总计 17.8 亿美元的损失,占全部损失的大部分。这种集中式大额盗窃说明高价值资产依然缺乏足够的隔离与冗余机制,平台设计的脆弱性仍未有效解决。
在攻击类型中,钱包入侵带来的经济损失最为严重。上半年共发生 34 起相关事件,导致约 17 亿美元资产被转出。相比于技术复杂的漏洞利用,钱包攻击多数通过社交工程、钓鱼链接或权限欺骗实现,技术门槛更低,却极具破坏力。黑客越来越倾向于针对用户终端的资产入口,尤其是在未启用多重验证或依赖热钱包的场景中。
同时,网络钓鱼攻击仍在快速增长,成为事件数量最多的手段。上半年共记录 132 起钓鱼攻击,累计造成 4.1 亿美元损失。攻击者通过伪造网页、合约交互界面或伪装的交易确认流程,引导用户误操作,实现私钥或授权权限的获取。攻击者正在不断调整策略,使钓鱼行为更难识别,用户端的安全意识和工具配备已成为关键防线。
©版权声明
文章版权归作者所有,未经允许请勿转载,同时本站内容仅代表我们个人的观点,均不构成投资建议。
以太坊与Solana的竞争格局正成为加密货币市场焦点。随着6300亿美元资金涌入,两大智能合约平台在技术、生态和资本层面展开激烈角逐。以太坊凭借稳健升级和机构支持展现韧性,而Solana则以高性能吸引高频交易需求。这场对决将深刻影响2025年第三季度的市场走向。
持有比特币的数量因人而异,关键在于长期价值投资。了解比特币的稀缺性和市场规律,结合个人财务状况,制定适合自己的持有策略,把握数字资产的发展机遇。
马斯克宣布成立"美国党",挑战美国传统两党政治格局。这一行动源于与特朗普政府的政策分歧,以及其"技术治国"理念的推动。新政党主张科技优先、财政改革,试图用硅谷逻辑重塑华盛顿。尽管面临选举制度和选民心理等挑战,这一举动已引发对美国政治体制的深刻反思。
币海趋势分析7.10行情走势:大饼和以太凌晨冲高后进入震荡阶段,BTC关注109500-111500区间操作机会,ETH在2700-2785区间波动。短线策略实时更新,建议控制风险、合理规划资金。欢迎交流探讨交易策略。
探讨Tether在全球稳定币市场的战略布局,分析其合规化进程、差异化定位及应对巨头竞争的策略。从USDT的全球监管适配到本土稳定币发展,展现其财务实力与生态构建。
了解区块链标准化建设最新进展,聚焦ISO与各国标准组织的动态发展。文章分析全球区块链技术规范趋势,探讨国际标准与本土实践的协同路径。