- 话题1/3
18k 热度
757 热度
765 热度
170k 热度
40k 热度
- 置顶
- Gate 合约开仓激励计划火热上线！零门槛瓜分 50,000 ERA
开仓即有奖，交易越多奖励越多！
新用户享 20% 加成！
立即参与：https://www.gate.com/campaigns/1692?pid=X&ch=NGhnNGTf
活动详情：https://www.gate.com/announcements/article/46429
#Gate # #合约交易 # #ERA#
- 👀 家人们，最近你们都攒了多少 Alpha 积分啦？
空投领到了没？没抢到也别急，广场给你整点额外福利！
🎁 晒出你的 Alpha 收益，咱们就送你$200U代币盲盒奖励！
🥇 积分最高晒图用户 1 名 → $100 代币盲盒
✨ 积分榜前五优质分享者 5 名 → 各得 $20 代币盲盒
📍【怎么玩】
1️⃣ 带上话题 #晒出我的Alpha积分收益# 发广场贴
2️⃣ 晒 Alpha 积分截图 + 一句话总结：“我靠 Gate Alpha 赚了 ____，真的香！”
👉 还可以分享你的攒分技巧、兑换经验、积分玩法，越干货越容易中奖！
📆【活动时间】
8月4日 18:00 - 8月10日 24:00 （UTC+8）
- 🎉 #CandyDrop合约挑战# 正式开启！参与即可瓜分 6 BTC 豪华奖池！
📢 在 Gate 广场带话题发布你的合约体验
🎁 优质贴文用户瓜分$500 合约体验金券，20位名额等你上榜！
📅 活动时间：2025 年 8 月 1 日 15:00 - 8 月 15 日 19:00 (UTC+8)
👉 活动链接：https://www.gate.com/candy-drop/detail/BTC-98
敢合约，敢盈利
- 🎉 攒成长值，抽华为Mate三折叠！广场第 1️⃣ 2️⃣ 期夏季成长值抽奖大狂欢开启！
总奖池超 $10,000+，华为Mate三折叠手机、F1红牛赛车模型、Gate限量周边、热门代币等你来抽！
立即抽奖 👉 https://www.gate.com/activities/pointprize?now_period=12
如何快速赚成长值？
1️⃣ 进入【广场】，点击头像旁标识进入【社区中心】
2️⃣ 完成发帖、评论、点赞、发言等日常任务，成长值拿不停
100%有奖，抽到赚到，大奖等你抱走，赶紧试试手气！
截止于 8月9日 24:00 (UTC+8）
详情： https://www.gate.com/announcements/article/46384
#成长值抽奖12期开启#
- 📢 Gate广场 #NERO发帖挑战# 秀观点赢大奖活动火热开启！
Gate NERO生态周来袭！发帖秀出NERO项目洞察和活动实用攻略，瓜分30,000NERO！
💰️ 15位优质发帖用户 * 2,000枚NERO每人
如何参与：
1️⃣ 调研NERO项目
对NERO的基本面、社区治理、发展目标、代币经济模型等方面进行研究，分享你对项目的深度研究。
2️⃣ 参与并分享真实体验
参与NERO生态周相关活动，并晒出你的参与截图、收益图或实用教程。可以是收益展示、简明易懂的新手攻略、小窍门，也可以是行情点位分析，内容详实优先。
3️⃣ 鼓励带新互动
如果你的帖子吸引到他人参与活动，或者有好友评论“已参与/已交易”，将大幅提升你的获奖概率！
NERO热门活动（帖文需附以下活动链接）：
NERO Chain (NERO) 生态周：Gate 已上线 NERO 现货交易，为回馈平台用户，HODLer Airdrop、Launchpool、CandyDrop、余币宝已上线 NERO，邀您体验。参与攻略见公告：https://www.gate.com/announcements/article/46284
高质量帖子Tips：
教程越详细、图片越直观、互动量越高，获奖几率越大！
市场见解独到、真实参与经历、有带新互动者，评选将优先考虑。
帖子需原创，字数不少于250字，且需获得至少3条有效互动
OrionProtocol遭290万美元重入攻击 漏洞分析与防范建议
OrionProtocol遭遇重入攻击事件分析
事件概述
根据链上监控数据显示，2023年2月2日15:40:20 UTC，OrionProtocol在以太坊和币安智能链上因合约漏洞遭受重入攻击。攻击者从以太坊网络获利2,844,766 USDT，从币安智能链获利191,606 BUSD，总计约290万美元。
攻击过程分析
以太坊链上攻击细节
攻击者首先部署了一个自定义Token合约，并进行了一系列转移和授权操作为后续攻击做准备。随后，攻击者通过UNI-V2.swap方法借款，并调用ExchangeWithAtomic.swapThroughOrionPool方法进行代币兑换。兑换路径设置为USDC -> 自定义Token -> USDT。
在兑换过程中，由于攻击者创建的Token合约中包含回调功能，使得在ExchangeWithAtomic.swapThroughOrionPool执行期间，攻击者能够通过Token.Transfer方法重复调用ExchangeWithAtomic.depositAsset函数。这导致存款金额不断累加，最终攻击者通过取款操作完成获利。
资金流向
攻击者的初始资金来源于某大型交易平台的热钱包。攻击获得的1,651个ETH中，657.5个ETH仍留在攻击者的钱包地址中，其余部分已通过混币服务进行转移。
漏洞分析
漏洞的核心问题出现在doSwapThroughOrionPool函数中。该函数在执行代币转账后更新curBalance变量，而没有遵循"检查-效果-交互"（Checks-Effects-Interactions）模式。攻击者利用自定义Token的transfer函数中添加的回调机制，在curBalance更新前重复调用depositAsset函数，导致余额计算错误。
防范建议
项目方在设计涉及代币兑换功能的合约时，需要考虑多种Token类型和兑换路径可能带来的安全风险。
严格遵循"检查-效果-交互"的编码规范，即先进行条件检查，然后更新状态变量，最后才执行外部调用。
对于可能存在重入风险的函数，使用重入锁等机制进行保护。
在关键操作前后添加余额检查，确保交易的原子性和一致性。
定期进行代码审计和安全测试，及时发现和修复潜在漏洞。
考虑实施交易金额限制或交易频率限制，以降低单次攻击造成的损失。
通过采取这些措施，项目可以显著提高合约的安全性，减少遭受类似攻击的风险。在快速发展的Web3生态中，安全始终应该是首要考虑的因素。