事件概述：2023年5月28日，Arbitrum链上DeFi项目Jimbos Protocol遭黑客攻击，损失约776万美元。攻击者通过操纵代币价格漏洞获利，资金已跨链转移至以太坊地址。
攻击手法：
1. 攻击者通过闪电贷借入10,000 WETH。
2. 利用JIMBO代币兑换漏洞，恶意拉高代币价格。
3. 调用无权限限制的shift()函数，将合约内ETH和代币转入交易池，通过价差套利。
4. 重复操作掏空流动性池，最终获利4,048 ETH。
核心漏洞：项目合约的shift()函数未设置调用权限和价格滑点校验，导致攻击者可任意操控流动性池代币价格。
资金流向：初始资金通过跨链转入，获利后转移至以太坊地址（0x5F...a7E），目前未进一步移动。
安全建议：
- 关键函数需添加权限控制。
- 更新流动性时加入价格滑点验证。
- 项目上线前应进行多轮安全审计。

事件背景

零时科技区块链安全情报平台监控到消息，北京时间2023年5月28日，Arbitrum链上Jimbos Protocol项目受到黑客攻击，攻击者获利约 776 万美元。

攻击者地址为：

0x102be4bccc2696c35fd5f5bfe54c1dfba416a741

被盗资金通过跨链转移至ETH链后转移至地址：

0x5F3591e2921D5c9291F5b224E909aB978A22Ba7E

零时科技安全团队及时对此安全事件进行分析。

攻击步骤

1. 攻击者通过闪电贷借出 10,000 WETH

2. 攻击者在交易池中使用 WETH 兑换获得大量 JIMBO 代币

3. 攻击者向 JimboController 合约转移 100 JIMBO 代币

4. 攻击者调用 shift 函数更新交易池，将合约中WETH与 JIMBO 代币转移至交易池中，此时JIMBO 代币价格被恶意拉高

5. 攻击者使用更新后的价格进行兑换

6. 攻击者重复上述步骤，几乎将池子掏空后获利离场。

此笔攻击中攻击者共获利约 4,048 ETH，约为 7,763,360 美元

核心漏洞

JimboController合约中shift()函数可以更新交易池流动性，但是此函数中没有限制调用者身份，任何人都可以调用此函数执行更新交易池操作，重新添加流动性时会将合约中的所有余额转移至交易池，并且重新添加流动性时没有对代币价格进行判断，因此攻击者能够将代币价格恶意拉高后通过调用函数使得JimboController合约接盘，从而获利。