GMX遭遇重大安全漏洞 損失超4000萬美元

近日，一起針對去中心化交易平台的黑客攻擊事件引發了業內廣泛關注。攻擊者通過利用一個可重入漏洞，在合約開啓槓杆功能的情況下開設空頭頭寸，成功從平台竊取了超過4000萬美元的資產。

這次攻擊的核心問題出在executeDecreaseOrder函數的錯誤使用上。該函數的設計初衷是將外部帳戶(EOA)作爲第一個參數，但攻擊者巧妙地傳入了一個智能合約地址。這使得攻擊者能夠在資產贖回過程中重復進入系統，從而操縱內部狀態，最終獲取的資產遠超其實際持有的GLP價值。

在正常情況下，該平台的GLP代幣代表用戶對資金池中各類資產(如USDC、ETH、WBTC等)的份額。用戶贖回GLP時，系統會根據當前管理資產總額(AUM)和用戶持有的GLP比例計算應返還的資產數量。AUM的計算涉及多個因素，包括所有代幣池的總價值、全局空頭頭寸的未實現盈虧等。

然而，當平台開啓槓杆交易功能後，這一機制暴露出了致命弱點。攻擊者在贖回GLP之前，先開設了大額的WBTC空頭頭寸。由於系統在計算AUM時將未實現虧損視爲"資產"，這導致AUM被人爲抬高，盡管實際上金庫並未獲得額外價值。基於這個虛高的AUM進行贖回計算，使得攻擊者得以獲取超出其應得份額的資產。

這起事件暴露了該平台在設計槓杆機制和實施可重入保護方面的嚴重缺陷。主要問題在於資產贖回邏輯過度依賴AUM數值，而未對其構成要素(如未實現虧損)進行充分的安全驗證。同時，關鍵函數對調用者身分的假設也缺乏強制性檢查。

這一安全事件再次警示了DeFi開發者，在處理資金敏感操作時，必須確保系統狀態不被外部操縱。特別是在引入復雜金融邏輯如槓杆交易、衍生品等時，更需要嚴格防範重入攻擊和狀態污染可能帶來的系統性風險。行業內各方應從此事件汲取教訓，加強智能合約的安全審計和風險管理，以維護去中心化金融生態的健康發展。