Poolz智能合約漏洞遭攻擊 多鏈資產損失66.5萬美元

Poolz遭遇算術溢出漏洞攻擊，損失約66.5萬美元

近日，多個區塊鏈網路上的Poolz項目遭到黑客攻擊，導致大量代幣被盜，總價值約66.5萬美元。這次攻擊發生在2023年3月15日，涉及Ethereum、BNB Chain和Polygon等多個網路。

攻擊者利用了Poolz智能合約中的一個算術溢出漏洞。具體來說，問題出在CreateMassPools函數中的getArraySum函數。該函數在計算代幣數量時沒有正確處理整數溢出，導致攻擊者能夠以極低成本獲取大量代幣。

攻擊過程大致如下：

1. 攻擊者首先在某去中心化交易所兌換了少量MNZ代幣。

2. 隨後調用CreateMassPools函數，傳入精心構造的參數，觸發整數溢出。

3. 由於溢出，系統錯誤地記錄了一個巨大的代幣數量，而實際只轉入了1個代幣。

4. 最後，攻擊者調用withdraw函數提取代幣，完成攻擊。

這次事件再次凸顯了智能合約中整數溢出漏洞的危險性。爲防止類似問題，開發者應該使用較新版本的Solidity編譯器，它們會自動進行溢出檢查。對於使用舊版本Solidity的項目，建議引入OpenZeppelin的SafeMath庫來處理整數運算。

此次攻擊造成多種代幣損失，包括MEE、ESNC、DON、ASW、KMON、POOLZ等。目前，部分被盜資金已被攻擊者兌換爲BNB，但尚未轉移出攻擊者的地址。

這一事件提醒我們，即使是看似簡單的數學運算，在智能合約中也可能引發嚴重的安全問題。項目方需要更加重視代碼審計，並採取必要的安全措施來保護用戶資產。