Poolz智能合约漏洞遭攻击 多链资产损失66.5万美元

Poolz遭遇算术溢出漏洞攻击，损失约66.5万美元

近日，多个区块链网络上的Poolz项目遭到黑客攻击，导致大量代币被盗，总价值约66.5万美元。这次攻击发生在2023年3月15日，涉及Ethereum、BNB Chain和Polygon等多个网络。

攻击者利用了Poolz智能合约中的一个算术溢出漏洞。具体来说，问题出在CreateMassPools函数中的getArraySum函数。该函数在计算代币数量时没有正确处理整数溢出，导致攻击者能够以极低成本获取大量代币。

攻击过程大致如下：

1. 攻击者首先在某去中心化交易所兑换了少量MNZ代币。

2. 随后调用CreateMassPools函数，传入精心构造的参数，触发整数溢出。

3. 由于溢出，系统错误地记录了一个巨大的代币数量，而实际只转入了1个代币。

4. 最后，攻击者调用withdraw函数提取代币，完成攻击。

这次事件再次凸显了智能合约中整数溢出漏洞的危险性。为防止类似问题，开发者应该使用较新版本的Solidity编译器，它们会自动进行溢出检查。对于使用旧版本Solidity的项目，建议引入OpenZeppelin的SafeMath库来处理整数运算。

此次攻击造成多种代币损失，包括MEE、ESNC、DON、ASW、KMON、POOLZ等。目前，部分被盗资金已被攻击者兑换为BNB，但尚未转移出攻击者的地址。

这一事件提醒我们，即使是看似简单的数学运算，在智能合约中也可能引发严重的安全问题。项目方需要更加重视代码审计，并采取必要的安全措施来保护用户资产。