GMXの再入力攻撃で4000万ドル損失

4000万ドルの襲撃は偶然ではなかった

GMXの取引ログで、EOAであるべきアドレスがスマートコントラクトとして実行され、減価操作が行われました。これは暗号化の破壊ではなく、信頼された偽りのIDによるものです。

AUM：見えないレバレッジエンジン

AUM（運用資産）は動的ではないはずでしたが、攻撃者はGLP供給量を操作し、redeem_amount = (user_GLP / total_GLP_supply) * AUMという式を誤用しました。未実現損失を正の価値と見なすことで、空位置が自己完結的な債務機械となりました。

再入力はバグではなく、悪用された機能

enableLeverage関数は流動性ステーキングを投機的投機に変貌させました。攻撃者はWBTCショート後にプールの流動性を支配し、システムは信頼されたアドレスからのすべての呼び出しを前提としていたのです。

ゼロ知識証明が失敗した理由

このシステムは検証ではなく信頼に基づいて構築されました。呼び出し元がEOAかスマートコントラクトかは誰も監査せず、気づいたときにはすでに遅すぎました。これはハッキングではなく、革新に扮した怠惰な工学です。

最後の教訓：信頼はプロトコルではない

私は怒っていません。失望しています。セキュリティ監査なしで収益最適化を図った結果、美しさと安全を混同しました。次回？ルートレベルですべての呼び出しを検証するか——それともまた4000万ドル以上失うか。