最近 Uniswap 和 Lendf.Me 接連發生兩起「重入攻擊」事件，均由於 DeFi 合約缺少重入攻擊保護，導致攻擊者利用 ERC777 中的多次迭代呼叫 tokensToSend 方法函式來實現重入攻擊。
為配合調研重入攻擊事件，目前 ERC 777 代幣 imBTC 合約已被暫停，等待安全事件評估完畢後擇機重啟。此外 imBTC 1:1 託管的 BTC 沒有影響，持有 imBTC 的使用者無需擔心後續贖回、交易、轉賬等功能。
事件時間線
北京時間 4月18日 08:58，一名攻擊者利用 Uniswap 和 ERC 777 的相容性問題，透過多次迭代呼叫名為「tokensToSend」的方法函式來對該平臺上的 ETH/imBTC 交易對進行重入攻擊。
- 4月18日 12:12，Tokenlon 觀察到異常後，立刻定義為 P0 級安全問題，並建立緊急處理小組。
- 4月18日 12:49，Tokenlon 評估安全問題後， 暫停了 imBTC 的轉賬功能並通知 imBTC 合作伙伴自查安全風險。
- 4月18日 17:00，Tokenlon 得到 Lendf.Me 及其他 imBTC 合作平臺確認安全風險評估沒問題後，重啟了 imBTC 的轉賬功能。
- 4月19日 09:28，Tokenlon 收到 Lendf.me 反饋 ，遭遇類似 Uniswap 事件的重入攻擊，出現大量異常借貸行為。
- 4月19日 10:12，為配合調研重入攻擊事件，Tokenlon 暫停 imBTC 的轉賬功能。
- 截至發稿， Lendf.Me 已經停止服務，正在調查處理中。
imBTC 現狀
目前，其他渠道持有 imBTC 使用者資產安全不受影響，Tokenlon 將會在確認合作平臺無安全問題後，重啟 imBTC 轉賬和交易。
imBTC 是與 BTC 1:1 錨定的 ERC-777 代幣（相容 ERC-20 ），由 Tokenlon 負責發行和監管，imBTC 採用 ERC-777 代幣標準規範，本身並沒有安全問題。但目前出現 ERC-777 代幣與 Uniswap/Lendf.Me 合約組合，存在重入攻擊漏洞。
我們在此呼籲， DeFi 開發者應立即檢查相關問題，並與社羣共同建立更加完善的風控機制和保險機制。
最後，請關注 Tokenlon 相關渠道公告，我們會持續更新處理進展。
