#4 GMX Vorfall: Cross-Contract Reentrancy umgeht vier Jahre alte Absicherung

Am 9. Juli 2025 erlebte die dezentrale Perpetual-Plattform GMX einen Exploit [1, 2], der auf ihren V1-Vertrag im Arbitrum-Netzwerk abzielte und zu einem Verlust von etwa 42 Millionen US-Dollar führte. Der Angreifer nutzte eine Cross-Contract Reentrancy-Schwachstelle aus, um den GLP-Preis zu manipulieren und dann mit dem verzerrten Preis die zugrunde liegenden Vermögenswerte aus den Liquiditätspools von GMX V1 abzuziehen.

Hintergrund

GMX V1 [3] ist eine dezentrale Perpetual-Trading-Plattform, die auf Arbitrum eingesetzt wird. Sie ermöglicht es Benutzern, Perpetual-Kontrakte auf mehreren Krypto-Assets mit Hebelwirkung auf erlaubnisfreie und nicht-verwahrte Weise zu handeln. GMX V1 folgt einem einzigen Multi-Asset-Pool-Design, bei dem die Liquidität für alle unterstützten Assets in einem einheitlichen Vault-System aggregiert wird.

Positionsmanagement in GMX

Das Positionsmanagement in GMX ist ein zweistufiger Prozess. Insbesondere erstellen Benutzer Erhöhungs-/Verringerungsaufträge, indem sie mit den Verträgen OrderBook oder PositionRouter interagieren. Anschließend führt ein autorisiertes Keeper-Konto die Aufträge der Benutzer aus, was die globalen Short-Daten im Vertrag ShortTracker und den entsprechenden Zustand des Vertrags Vault aktualisiert. Die folgenden beiden Abbildungen veranschaulichen die beiden Ausführungspfade (die Pfade Orderbook-Execution und Router-Execution) für die Verwaltung von Positionen in GMX. Bei diesem Vorfall nutzte der Angreifer beide Pfade, um die globalen Short-Daten zu manipulieren und Gewinne zu realisieren.

Der Orderbook-Execution-Pfad

Der Router-Execution-Pfad

GMX Vault

Der Vertrag Vault in GMX ist für die Verwaltung der Positionen und Vermögenswerte der Benutzer verantwortlich (z. B. die Finalisierung von Gewinn und Verlust). Um böswillige Interaktionen zu vermeiden, ist der Vertrag Vault nur zugänglich, wenn das "Hebel-Fenster" geöffnet ist (d. h. die Variable isLeverageEnabled im Vertrag Vault ist über die Funktion Timelock.enableLeverage() auf true gesetzt). Diese Validierung erzwingt, dass die Auftragsausführung den festgelegten Pfaden (orderbook-execution und router-execution) folgen muss.

GMX Short Tracker

Der Vertrag ShortTracker ist für die Verfolgung und Aktualisierung der globalen Short-Daten (z. B. der Variable globalShortAveragePrice) während der Auftragsausführung verantwortlich. Gemäß den Pfaden orderbook-execution und router-execution wird die Funktion updateGlobalShortData() des Vertrags ShortTracker vor der Ausführung der Aufträge der Benutzer aufgerufen, um die neuesten globalen Short-Daten zu synchronisieren. Dieser Schritt stellt die korrekte Gewinn- und Verlustrealisierung für die Positionen der Benutzer sicher.

Verringerung der WETH-Position

Im Gegensatz zu anderen Aufträgen löst die Verringerung der WETH-Position über den Pfad orderbook-execution den Aufruf der Funktion _transferOutETH() im Vertrag OrderBook aus, um WETH-Token abzuheben und native ETH-Token an die Benutzer zu übertragen. Wenn der Empfänger _receiver ein Vertrag ist, kann sendValue() die fallback()-Funktion des Vertrags auslösen und so eine potenzielle Reentrancy-Schwachstelle einführen. Bei diesem Vorfall nutzte der Angreifer diese Reentrancy-Schwachstelle wiederholt aus, um erhebliche Gewinne zu erzielen.

GLP-Token

Das GLP (GMX Liquidity Provider)-Token repräsentiert die vereinigten Anteile an verschiedenen Vermögenswerten im Vault-Vertrag. Benutzer können Vermögenswerte bereitstellen und einlösen, indem sie GLPs prägen und verbrennen.

Der GLP-Preis kann mit den folgenden Gleichungen berechnet werden:

$$\text{GLPPreis}=\frac{\text{AUM}}{\text{GLPGesamte Auflage}}\backslash text\{GLPPreis\}=\; \backslash frac\{\backslash text\{AUM\}\}\{\backslash text\{GLPGesamte\; Auflage\}\}$$

$$\text{AUM}=\sum _{i=Asset[0]}^{Assets}({\mathrm{\Delta }}_{\text{GlobalShort[i]}}+{\text{AUM}}_{\text{Andere[i]}})\backslash text\{AUM\}\; =\; \backslash sum^\{Assets\}\_\{i\; =\; Asset[0]\}(\backslash Delta\_\{\backslash text\{GlobalShort[i]\}\}\; +\; \backslash text\{AUM\}\_\{\backslash text\{Andere[i]\}\})$$

$${\mathrm{\Delta }}_{\text{GlobalShort[i]}}=\frac{\text{globaleShortGr}\ddot{\text{o}}\text{ße}\times (\text{AssetMarktpreis}-\text{globalerShortDurchschnittspreis})}{\text{globalerShortDurchschnittspreis}}\backslash Delta\_\{\backslash text\{GlobalShort[i]\}\}\; =\; \backslash frac\{\; \backslash text\{globaleShortGröße\}\; \backslash times\; (\backslash text\{AssetMarktpreis\}\; -\; \backslash text\{globalerShortDurchschnittspreis\}\; )\; \}\{\; \backslash text\{globalerShortDurchschnittspreis\}\; \}$$

Wo:

• GLPTotalSupply steht für die Gesamtauflage der GLP-Token.
• AUM besteht aus den folgenden beiden Komponenten.
  • ${\mathrm{\Delta }}_{\text{GlobalShort}}\backslash Delta\_\{\backslash text\{GlobalShort\}\}$ repräsentiert den uPnL (d. h. den nicht realisierten Gewinn und Verlust) aller Short-Positionen.
  • ${\text{AUM}}_{\text{Other}}\backslash text\{AUM\}\_\{\backslash text\{Other\}\}$ repräsentiert die bereitgestellte Liquidität des LP zuzüglich des nicht realisierten uPnL aller Long-Positionen. Dieser Term blieb während des Vorfalls vor der Gewinnrealisierung nahezu unverändert.
• AssetMarketPrice ist der Marktpreis (in USD) des zugrunde liegenden Vermögenswerts.
• globalShortSize ist die Summe (in USD) aller Short-Positionen.
• globalShortAveragePrice ist der durchschnittliche Einstiegspreis der aggregierten globalen Short-Position.

Bei diesem Vorfall verzerrte der Angreifer den globalShortAveragePrice, um den GLP-Preis zu manipulieren und Gewinne zu erzielen.

Schwachstellenanalyse

Die Hauptursache ist eine Cross-Contract Reentrancy-Schwachstelle im Vertrag OrderBook. Wie im Hintergrund beschrieben, löst die Verringerung von WETH-Positionen über den Pfad orderbook-execution einen Low-Level-Fallback-Aufruf an den Empfänger über _transferOutETH() aus. Die Funktion trägt einen nonReentrant-Modifikator, aber dieser Schutz verhindert nur die Reentrancy innerhalb des OrderBook-Vertrags selbst, nicht aber Cross-Contract-Aufrufe an den Vault.

Im normalen Betrieb kann die increasePosition()-Funktion des Vault nur über PositionRouter und PositionManager aufgerufen werden, die ShortTracker aufrufen, um globalShortAveragePrice vor jeder Positionsänderung zu aktualisieren. Der Angreifer erstellte Aufträge mit einem bösartigen Vertrag als Empfänger und rief während des Fallback-Aufrufs direkt increasePosition() im Vault auf, wobei PositionRouter/PositionManager und die zugehörige ShortTracker-Aktualisierung umgangen wurden. Durch wiederholtes Öffnen und Schließen von Short-Positionen ohne Aktualisierung von globalShortAveragePrice verzerrte der Angreifer schrittweise die Variable. Der verzerrte Wert blähte den GLP-Preis auf, wodurch der Angreifer Gewinne durch Prägung und Einlösung von GLPs erzielen konnte.

Angriffsanalyse

Der Angreifer startete eine Reihe von Transaktionen, die die globalen Short-Daten manipulierten und den Gewinn realisierten. Insbesondere kann dieser Vorfall in drei Phasen unterteilt werden: Vorbereitung, Preismanipulation und Gewinnrealisierung. Alle zugehörigen Transaktionen sind in der folgenden Tabelle aufgeführt.

Vorbereitungsphase

1. (Tx 1) Der Angreifer stellte den Angriffskontrakt bereit, der als Empfänger von Vermögenswerten während der Auftragsausführung dient. Der Angriffskontrakt enthielt eine bösartige fallback()-Funktion.

2. (Tx 2) Der Angreifer erstellte im Vertrag OrderBook einen WETH-Long-Order zur Erhöhung für den Angriffskontrakt.

   

3. (Tx 3) Ein Keeper führte den Erhöhungsauftrag des Angreifers (erstellt in Schritt 2) aus, der eine WETH-Long-Position für den Angriffskontrakt eröffnete. (Tx 3).

   

4. (Tx 4) Der Angreifer erstellte im Vertrag OrderBook einen WETH-Long-Order zur Verringerung für den Angriffskontrakt.

   

Manipulationsphase

5. (Tx 5) Ein Keeper führte den WETH-Long-Order zur Verringerung des Angriffskontrakts (erstellt in Schritt 4) über den Pfad orderbook-execution aus. Die Ausführung löste die bösartige fallback()-Funktion im Angriffskontrakt aus.

   Da fallback() während des "Hebel-Fensters" aufgerufen wurde, interagierte der Angriffskontrakt direkt mit dem Vertrag Vault, um eine WBTC-Short-Position zu eröffnen (über increasePosition()), ohne globalShortAveragePrice zu aktualisieren, und erstellte anschließend einen WBTC-Short-Order zur Verringerung/Schließung.

   

6. (Tx 6) Ein Keeper führte den WBTC-Short-Order zur Verringerung (erstellt in Schritt 5) über den Pfad router-execution aus. Die Ausführung erstellte über den Fallback-Mechanismus im Vertrag PositionRouter auch einen WETH-Long-Order zur Verringerung.

   Da die WBTC-Short-Position ohne Aktualisierung von globalShortAveragePrice eröffnet wurde, verursachte die Schließung der Position bei gleichzeitiger Aktualisierung der Variablen einen unerwarteten Rückgang von globalShortAveragePrice.

   

7. (Tx 7-14) Der Angreifer wiederholte die Schritte 5-6 viermal. Infolgedessen wurde globalShortAveragePrice von 1,08e35 auf 1,9e33 verzerrt.

   

Gewinnrealisierungsphase

8. (Tx 15) Ein Keeper führte den WETH-Long-Order zur Verringerung (erstellt in Tx 14) über den Pfad orderbook-execution aus. Diese Ausführung löste aufgrund der Reentrancy-Schwachstelle im Vertrag OrderBook die Gewinnrealisierungslogik im Angriffskontrakt aus.

   

   1. Bei der Fallback-Ausführung borgte sich der Angriffskontrakt zunächst einen Flash-Loan von 7.538.567e18 USDC.

   2. Der Angriffskontrakt rief mintAndStakeGlp() auf, um 4.129.578e18 GLPs unter Verwendung von 6.000.000e18 USDC zu prägen.

   3. Der Angriffskontrakt rief Vault.increasePosition() auf, um eine WBTC-Short-Position mit den verbleibenden 1.538.567e18 USDC zu eröffnen. Da die globalen Short-Daten von WBTC extrem verzerrt waren, verstärkte die Auftragsausführung den AUM erheblich und erhöhte den GLP-Preis rapide.

   4. Der Angriffskontrakt rief unstakeAndRedeemGlp() auf, um GLPs zum erhöhten Preis gegen mehrere Vermögenswerte im Vertrag Vault einzulösen.

   5. Der Angriffskontrakt rief Vault.decreasePosition() auf, um die WBTC-Short-Position zu schließen.

   6. Der Angriffskontrakt wiederholte die Schritte 8.b-8.e viermal, um alle Vermögenswerte im Vertrag Vault abzuziehen.

   7. Der Angriffskontrakt zahlte den Flash-Loan mit einem Gewinn von fast 42 Millionen US-Dollar zurück.

Rückerstattung

Nach Verhandlungen mit dem Angreifer (Tx 16-18) akzeptierte der Angreifer schließlich eine 10%ige Prämie und gab die restlichen gestohlenen Vermögenswerte zurück (Tx 19-21).

Zusammenfassung

Dieser Vorfall beinhaltete einen mehrstufigen Exploit gegen GMX V1 auf Arbitrum, der zu einem geschätzten Verlust von 42 Millionen US-Dollar führte. Der Angreifer nutzte eine Reentrancy-Schwachstelle im Vertrag OrderBook aus, um die Variable globalShortAveragePrice zu verzerren und den GLP-Preis aufzublähen. Durch die Ausnutzung des manipulierten Preises zog der Angreifer eine beträchtliche Menge an Vermögenswerten ab.

Wichtige Lektionen:

• Cross-Contract Reentrancy: Ein nonReentrant-Modifikator in einem einzelnen Vertrag verhindert nicht die Reentrancy in andere Verträge desselben Systems. Zugriffskontrollmechanismen, die auf einer temporären Flagge beruhen (z. B. das "Hebel-Fenster"), können umgangen werden, wenn ein externer Aufruf erfolgt, bevor die Flagge zurückgesetzt wird.
• Betriebssicherheit: Dieser Angreifer nutzte das Protokoll in drei verschiedenen Phasen aus und führte insgesamt 15 Transaktionen durch. Dieser Vorfall unterstreicht die kritische Notwendigkeit einer Echtzeitüberwachung, schneller Warnungen und effektiver Abhilfemaßnahmen.

Referenz

1. https://x.com/GMX_IO/status/1942955807756165574
2. https://x.com/GMX_IO/status/1943336664102756471
3. GMX V1

Über BlockSec

BlockSec ist ein Full-Stack-Anbieter für Blockchain-Sicherheit und Krypto-Compliance. Wir entwickeln Produkte und Dienstleistungen, die Kunden bei der Code-Prüfung (einschließlich Smart Contracts, Blockchain und Wallets), der Echtzeit-Abwehr von Angriffen, der Analyse von Vorfällen, der Rückverfolgung von illegalen Geldern und der Erfüllung von AML/CFT-Verpflichtungen über den gesamten Lebenszyklus von Protokollen und Plattformen hinweg unterstützen.

BlockSec hat mehrere Blockchain-Sicherheitsarbeiten auf renommierten Konferenzen veröffentlicht, mehrere Zero-Day-Angriffe von DeFi-Anwendungen gemeldet, mehrere Hacks blockiert, um mehr als 20 Millionen Dollar zu retten, und Kryptowährungen im Wert von Milliarden gesichert.

• Offizielle Website: https://blocksec.com/

• Offizielles Twitter-Konto: https://twitter.com/BlockSecTeam

• 🔗 BlockSec Auditing Service : Anfrage einreichen

• 🔗 Phalcon Security APP: Demo buchen

• 🔗 Phalcon Compliance