DeFi协议Abracadabra遭黑，黑客自己清算自己获利超1300万美元
2025-03-26分类：DeFi 阅读（）
根据安全公司派盾（PeckShield） 的报告，去中心化金融（DeFi）协议Abracadabra/Spell 近期遭受黑客攻击，导致价值数百万美元的加密货币被盗。这次攻击的目标是该协议的「Cauldrons」智能合约，黑客成功利用漏洞，从流动性池中窃取约6,262 颗以太币（ETH），总价值约1,300 万美元。
攻击手法解析
Abracadabra/Spell 的「Cauldrons」是一种智能合约，允许用户透过去中心化交易所GMX 的流动性池进行借贷。然而，这次攻击针对GMX V2 平台的「清算机制」进行操纵，导致资金被窃取。
加密研究员Weilin（William）Li 在社群平台X 上分析这次攻击的运作方式：
「黑客利用闪电贷（Flash Loan）技术，在无需任何抵押品的情况下执行了一次『自我清算』攻击。」
闪电贷是一种特殊的DeFi 借贷机制，允许用户在同一个区块内借款并立即偿还，而无需提供抵押品。黑客利用这项技术，通过「七步骤流程」来操纵Abracadabra 的稳定币Magic Internet Money（MIM） 借贷与清算机制，从中获取清算奖励作为获利来源。
Li 补充道：
「攻击者的利润来自于清算奖励，因为在执行最后一步时，他们的帐户仍然保持足够的资金余额。」
GMX 平台是否有漏洞？
这次攻击与GMX V2 的交易机制有关。 GMX 采用了「两步骤交易机制」，也就是说，当用户下单后，系统会先建立订单，然后由特定的「Keepers」来执行交易，以防止「抢先交易（Front-running）」的问题。然而，这次攻击可能利用了「订单建立与执行之间的时间差」，成功干扰了借贷流程。
尽管如此，GMX 开发人员@Jonas_ALA 在X 平台上强调：
「GMX 的核心合约并未受到影响，这次攻击仅针对Abracadabra 的Cauldrons。开发团队正在调查攻击细节，对所有受影响的用户深感抱歉。」
资金去向与历史安全问题
目前，黑客已经将被盗资金从Arbitrum 网络桥接到以太坊主网，这使得追踪与追回资产变得更加困难。值得注意的是，这并非Abracadabra 首次遭遇攻击。 2024 年1 月，该协议的稳定币MIM 也曾被恶意操纵，导致约650 万美元的损失。
Tags：
