币圈子(120BTC.cOM)讯：老牌去中心化永续合约交易所GMX在Arbitrum上的V1部署于7月9日遭受黑客攻击，损失高达4,200万美元。北京时间7月10日晚间，GMX于X平台发布了一篇详细报告，公开了此次攻击的根本原因、初步应对措施及后续计划。

GMX遭黑原因

根据GMX的官方报告，此次攻击发生于2025年7月9日中午12:30(UTC)，攻击者利用Arbitrum上GMX V1的「重入攻击」(re-entrancyattack)漏洞，直接呼叫Vault合约中的increase Position函数，绕过了正常流程中由Position Router和Position Manager合约计算平均空头价格的机制。

攻击者将BTC的平均空头价格从109,505.77美元操纵至1,913.70美元，并利用闪电贷款以1.45美元的价格购入GLP(GMX流动性代币)，开立价值1,538万美元的部位，最终将GLP价格推高至27美元以上，兑现巨额利润。

报告指出，攻击入口位于OrderBook合约的某函数，尽管该函数设有nonReentrant修饰符，但仅能防止同一合约内的重入，未能阻止跨合约攻击。

对此，GMX在发现漏洞后迅速采取行动，暂停了Avalanche上的交易，避免损失扩大，并联系Arbitrum、交易所、桥接协议及稳定币发行方(如Circle、Tether、Frax)追踪被盗资金，同时透过链上消息与攻击者联系。

另外，GMX进一步确认，GMX V2不存在类似漏洞，因其空头平均价格计算与订单执行在同一合约内完成。

下一步行动

为处理攻击后续影响并保护用户权益，GMX提出了以下具体计划：

• 资金分配与赔偿准备：目前GLP池中约有360万美元的代币，因未平仓部位而被保留。Arbitrum上GLP的V1费用约50万美元(扣除自动兑换为GMX的30%费用后)，将转入GMX DAO金库，用于赔偿受影响的GLP持有者。Arbitrum上的GLP剩余资金将分配至赔偿池，供受影响的GLP持有者申请。

• 禁用GLP铸造与赎回：Arbitrum上的GLP铸造与赎回将被禁用。Avalanche上的GLP铸造将被禁用，但赎回功能保持开放，允许用户灵活处理。

• 部位与订单管理：在禁用Arbitrum上GLP赎回后，Arbitrum和Avalanche上的V1头寸关闭功能将启用，允许用户关闭现有头寸。但V1的开仓功能将不会启用，以防止类似攻击再次发生。Arbitrum和Avalanche上的现有V1订单将不再执行，用户需自行取消所有V1订单。

• 后续治理讨论：GMX DAO将启动治理讨论，针对进一步的赔偿措施进行规划，确保公平分配剩余资金并制定长期防范策略。

• 支持esGMX质押：在Arbitrum和Avalanche上，使用GLP进行esGMX质押的用户可继续质押。Avalanche上的用户可随时赎回GLP，但若GLP未用于质押，建议进行赎回。

• 对GMX V1分叉的建议：GMX敦促所有V1分叉项目采取两项措施防范类似攻击：1、禁用杠杆功能；2、限制GLP铸造。