X7 Finance遭漏洞攻击损失约6.78 ETH，SlowMist披露claimRewards缺陷

RecodeX 重构消息，SlowMist安全团队发布威胁情报警报，X7 Finance因合约漏洞损失约6.78枚ETH。漏洞位于claimRewards()函数：每次调用时totalRewards会按(address(this).balance – lastETHBalance)累加，但lastETHBalance仅在claimable大于0时更新。攻击者以空数组调用使claimable保持为0，同一笔未计入余额被反复累加进totalRewards，从而抬高单枚代币奖励。攻击者还先向合约转入ETH以放大差额，随后抽走资金。受害及存在漏洞的合约为X7Pioneer（0x70000299ee8910ccacd97b1bb560e34f49c9e4f7），攻击者地址为0xc79352119a7cf6efbfabbd7e6b013b79687bacf2。