千里之堤溃于蚁穴：Alchemix事件简析

前言

据官方推文消息，2021 年 6 月 16 日，以太坊项目 Alchemix 的 alETH 合约疑似出现安全问题，用户借贷 alETH 后并没有待偿还债务，知道创宇区块链安全实验室第一时间跟进该事件分析。

简要分析

据官方发布的报告，指出的问题原因在于 alETH Vault 合约的部署脚本问题意外创建了额外的 Vault，而在 Vault 数组中使用了错误的索引，从而导致奖励计算错误，将资金全部发送以偿还用户债务。

从官方给出的 tx 中的线索可以发现，Alchemix 部署者最后调用了三次 harvest 函数获取收益。

且 3 次调用传入的均是索引为 0 的 Vault。

而在更早些时间，TransmuterEth 合约被多次调用 setActiveVault 函数，导致 Vault 数组中存在多个索引。

而_plantOrRecallExcessFunds 函数中又采用了 Vault 数组中最后更新的来作为有效 Vault 使用。

于是就如官方所说，意外创建了额外的 Vault，又使用了错误的索引，最终导致奖励计算错误，将 Transmuter 的资金全部发送以偿还用户债务。

总结

总的来说，这次出现的问题是由于项目方一个接一个的小失误酿造成的大问题。目前项目方已表示用户资金没有受到损失，团队将部署新的 Transmuter 和新的 Alchemix Vault，并呼吁用户把获得的多余 ETH 分配给新的 Transmuter 以允许它支持未偿还贷款，同时为使系统恢复偿付能力，Alchemix 也计划了一系列措施。

—-

编译者/作者：知道创宇区块链安

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。