Атака повторного входа (Reentrancy).

Эксплойт смарт-контракта, в котором внешний вызов позволяет атакующему рекурсивно повторно входить в функцию до обновления состояния и опустошать средства. Относится к категории Web3 и блокчейн в кибербезопасности.

Эксплойт смарт-контракта, в котором внешний вызов позволяет атакующему рекурсивно повторно входить в функцию до обновления состояния и опустошать средства.

Reentrancy возникает, когда контракт отправляет ETH или токены на внешний адрес (через call, transfer или ERC-777-хук) до того, как обновит собственное состояние. Атакующий управляет этим адресом и в обратном вызове снова обращается к функции вывода, повторяя цикл до опустошения контракта. Существуют варианты: однофункциональный, межфункциональный, межконтрактный и read-only. Меры защиты: шаблон checks-effects-interactions, ReentrancyGuard от OpenZeppelin, паттерн pull-payment и отказ от низкоуровневых вызовов недоверенных контрактов. Атака на The DAO в 2016 году — канонический пример, приведший к хардфорку Ethereum и Ethereum Classic.

Защита от Атака повторного входа (Reentrancy) обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Рекурсивный вызов.