根據安全公司派盾（PeckShield） 的報告，去中心化金融（DeFi）協議 Abracadabra/Spell 近期遭受駭客攻擊，導致價值數百萬美元的加密貨幣被盜。這次攻擊的目標是該協議的 「Cauldrons」智能合約，駭客成功利用漏洞，從流動性池中竊取 約 6,262 顆以太幣（ETH），總價值約 1,300 萬美元。
攻擊手法解析
Abracadabra/Spell 的「Cauldrons」是一種智能合約，允許用戶透過去中心化交易所 GMX 的流動性池進行借貸。然而，這次攻擊針對 GMX V2 平台的「清算機制」進行操縱，導致資金被竊取。
加密研究員 Weilin（William）Li 在社群平台 X 上分析這次攻擊的運作方式：
「駭客利用閃電貸（Flash Loan）技術，在無需任何抵押品的情況下執行了一次『自我清算』攻擊。」
閃電貸是一種特殊的 DeFi 借貸機制，允許用戶 在同一個區塊內借款並立即償還，而無需提供抵押品。駭客利用這項技術，通過「七步驟流程」來操縱 Abracadabra 的穩定幣 Magic Internet Money（MIM） 借貸與清算機制，從中獲取清算獎勵作為獲利來源。
Li 補充道：
「攻擊者的利潤來自於清算獎勵，因為在執行最後一步時，他們的帳戶仍然保持足夠的資金餘額。」
GMX 平台是否有漏洞？
這次攻擊與 GMX V2 的交易機制有關。GMX 採用了「兩步驟交易機制」，也就是說，當用戶下單後，系統會先建立訂單，然後由特定的「Keepers」來執行交易，以防止「搶先交易（Front-running）」的問題。然而，這次攻擊可能利用了「訂單建立與執行之間的時間差」，成功干擾了借貸流程。
儘管如此，GMX 開發人員 @Jonas_ALA 在 X 平台上強調：
「GMX 的核心合約並未受到影響，這次攻擊僅針對 Abracadabra 的 Cauldrons。開發團隊正在調查攻擊細節，對所有受影響的用戶深感抱歉。」
資金去向與歷史安全問題
目前，駭客已經將被盜資金從 Arbitrum 網路橋接到以太坊主網，這使得追蹤與追回資產變得更加困難。值得注意的是，這並非 Abracadabra 首次遭遇攻擊。2024 年 1 月，該協議的穩定幣 MIM 也曾被惡意操縱，導致約 650 萬美元的損失。
