Hemi Genesis Drop 遭重入攻击损失 1.245 亿枚代币

攻击者利用 MerkleBox 合约漏洞盗取未认领代币，通过 DEX 清算获利约 25.5 万美元并跨链转移。

据 Woofun AI 消息，Hemi 发布事后分析报告，披露其 9 月 7 日 Genesis Drop 活动遭遇重入攻击。攻击者于当日 03:36:47 UTC 利用 MerkleBox 智能合约漏洞，在余额更新前执行代币锁定，从而提取约 1.245 亿枚未认领代币。

攻击者借助 Sushiswap 的 HEMI/USDT 池进行闪电贷启动攻击，并在同笔交易内完成清算与还款。被盗代币随即在 Hemi 网络 DEX 被清算，生成约 25.5 万美元稳定币，随后通过 LayerZero 跨链至以太坊、Arbitrum 及 BSC 等网络，大部分转换为以太坊。Hemi 团队在收到 Hypernative 警报后迅速查明原因，确认受影响合约余额已清零且无进一步风险，目前正推进资金追回工作。