SlowMist：BitBay Vault提现漏洞被利用，损失约1.4万美元

据区块链安全公司SlowMist报告，去中心化交易平台BitBay近日遭智能合约攻击，Vault合约的_withdraw()函数存在逻辑缺陷：当流动性池余额为零时，未按用户所持份额比例限制可赎回金额，而是将合约内全部代币余额转给调用者。攻击者先调用reposition()将Vault流动性降至零，随后仅以最小份额单位发起赎回请求，触发_withdraw()，一次性提取约14,838.47 DAI，损失约1.4万美元。此次事件凸显DeFi协议在智能合约设计中的风险，尤其是流动性状态判断与用户赎回计算逻辑，零流动性等边界条件需充分验证和限制。