BlockSec：项目@jaypeggerz遭攻击，损失约15.32ETH

据12月29日消息，据报道 BlockSec 监测，项目 @jaypeggerz 攻击损失约 15.32 ETH（约 1.8 万美元）。BlockSec 称之为成功操纵 JAY 合同级重新攻击代币价格。JAY 合同允许用户为 buyJay 函数传递任意 ERC-721 代币。攻击者利用这个漏洞重新进入 JAY 合约。具体来说，攻击者首先借入 72.5 ETH 闪贷，然后用 22 ETH 购买 JAY 代币。然后他用了另一个 50.5 ETH 调用 buyJay 函数，传递假的 ERC-721 代币。在伪造的 ERC-721 代币的 transferFrom 在函数中，攻击者通过调用 sell 函数重新进入 JAY 合同，卖所有 JAY 代币。因为以太坊余额在 buyJay 功能一开始就增加了，所以 JAY 操纵代币价格。攻击者在单笔交易中重复了两次，总利润是 15.32 ETH。攻击利润已经转移 Tornado Cash。