Hemi：9 月 7 日 Genesis Drop 遭重入攻击损失约 1.245 亿枚代币，团队正推进调查与资金追回

BiRun 讯，Hemi 发布 9 月 7 日 Genesis Drop 漏洞攻击事件的事后分析报告。报告显示，攻击者于 9 月 7 日 03:36:47 UTC 利用 Hemi 的 Genesis Drop 中的 MerkleBox 智能合约漏洞，盗取了约 1.245 亿枚未认领的代币。该漏洞源于重入攻击（Reentrancy）：合约在更新账户余额之前处理了代币锁定的创建，从而允许攻击者提取远超其领取组配置的资金。攻击者使用来自 Sushiswap 的 HEMI/USDT 池的 200 万枚代币作为闪电贷启动了此次攻击，通过编排合约以原子方式执行并于同笔交易内还清贷款。被盗代币随后立即在 Hemi 网络内的去中心化交易所（DEX）被清算，生成约 25.5 万美元的稳定币。这些资金随后通过 LayerZero 跨链至以太坊、Arbitrum、BSC 等网络，并大多转换为以太坊。Hemi 团队于 05:42 UTC 收到 Hypernative 的警报，并在不到一小时内查明了根本原因。受影响的合约不可升级（Immutable），当前余额为零，不构成进一步风险。Hemi 的其余基础设施未受影响，关于攻击者身份的调查与资金追回工作仍在进行中。