BlockSec:项目@jaypeggerz遭攻击损失约15.32ETH
12月29日消息,据 BlockSec 监测,项目 @jaypeggerz 遭攻击损失约 15.32 ETH(约 1.8 万美元)。BlockSec 称这是一种成功操纵 JAY 代币价格的合约级重入攻击。JAY 合约允许用户为 buyJay 函数传递任意 ERC-721 代币。攻击者利用该漏洞重新进入 JAY 合约。具体来说,攻击者先借入 72.5 ETH 进行闪贷,然后用 22 ETH 购买 JAY 代币。然后他使用另外 50.5 ETH 调用 buyJay 函数,传递假的 ERC-721 代币。在伪造的 ERC-721 代币的 transferFrom 函数中,攻击者通过调用 sell 函数重新进入 JAY 合约,卖出所有 JAY 代币。由于以太坊余额在 buyJay 功能开始时有所增加,因此 JAY 代币价格受到操纵。攻击者在单笔交易中重复该过程两次,总利润为 15.32 ETH。攻击利润已转入 Tornado Cash。