據(jù)Beosin Alert監(jiān)測(cè)顯示，建立在 Pendle 上的 DeFi 協(xié)議 Penpie 遭到黑客攻擊，被盜取約 2700 萬(wàn)美元的加密資產(chǎn)，Beosin對(duì)本次事件簡(jiǎn)析如下： 攻擊者利用market合約中claimRewards函數(shù)重入質(zhì)押以提高staking合約余額，再將taking合約多余的代幣和質(zhì)押資產(chǎn)提取以獲利 1、攻擊者首先創(chuàng)建攻擊合約，并通過(guò)官方的factory構(gòu)建的對(duì)應(yīng)的market合約 2、調(diào)用staking合約的batchHarvestMarketRewards函數(shù)對(duì)該market進(jìn)行獎(jiǎng)勵(lì)更新 3、更新獎(jiǎng)勵(lì)時(shí)會(huì)回調(diào)攻擊合約claimRewards函數(shù)，由此函數(shù)進(jìn)行重入將閃電貸獲取的資產(chǎn)進(jìn)行質(zhì)押，使得staking合約的資產(chǎn)形成數(shù)量差，并將多余的提取出來(lái) 4、攻擊者將質(zhì)押的資產(chǎn)提取，并歸還閃電貸進(jìn)行獲利