Beosin：DeFi 借贷协议 Sentiment 大部分被盗资金仍在攻击者地址

据区块链安全审计公司 Beosin 旗下 Beosin EagleEye 安全风险监控、预警与阻断平台分析，今晨被攻击的 DeFi 借贷协议 Sentiment 被盗资产约 100 万美元，其中包含 0.5 枚 WBTC、30 枚 WETH、53.8 万枚 USDC 和 36 万枚 USDT。目前，大部分被盗资金还在攻击者地址。其攻击的原因在于重入导致的价格错误。Beosin 安全团队分析该起事件：1.攻击者首先调用 Balancer Vault 的「joinPool」函数进行质押。2.然后再调用「exitPool」取回质押，在这个过程中，Balancer Vault 会向攻击者发送 eth 从而调用攻击合约的 fallback 函数。在该函数中，攻击者调用 0x62c5 合约的 borrow 函数，该过程需要根据 Balancer Vault.getPoolTokens() 的返回数据进行价格计算。而当前正在攻击者的「exitPool」过程中，pool 中总供应量已经减少而数据还没有更新，攻击者利用这个数据错误从而多借出资产达成获利。