DeFi 借贷协议 Sentiment 已追回逾 90 万美元被盗资金

DeFi 借贷协议 Sentiment 表示已成功追回逾 90 万美元被盗资金。此前攻击者共窃取大约 96.6 万美元的资产。Sentiment 称攻击者如期归还剩余资金，将不对其采取行动。4 月 4 日，Sentiment 遭到攻击。Beosin 安全团队分析该起事件称，1.攻击者首先调用 Balancer Vault 的「joinPool」函数进行质押。2.然后再调用「exitPool」取回质押，在这个过程中，Balancer Vault 会向攻击者发送 eth 从而调用攻击合约的 fallback 函数。在该函数中，攻击者调用 0x62c5 合约的 borrow 函数，该过程需要根据 Balancer Vault.getPoolTokens() 的返回数据进行价格计算。而当前正在攻击者的「exitPool」过程中，pool 中总供应量已经减少而数据还没有更新，攻击者利用这个数据错误从而多借出资产达成获利。