什么是重入攻击：从一个比喻说起
要理解什么是重入攻击，可以把它想象成银行取款时的一个漏洞：你提交取款请求，柜员在还没更新你的账户余额前就先把钱递给你，而你利用这个时间差反复发起取款，最终取走远超余额的资金。在区块链世界，这个"时间差"发生在智能合约的函数调用过程中。
重入攻击（Reentrancy Attack）是 智能合约是什么 这一话题中绕不开的安全主题。它利用合约在完成外部调用后、更新内部状态前的执行间隙，递归地重复调用同一函数，从而非法提取资金。对于想系统学习的人来说，智能合约完整教程 中通常会把它列为最经典的漏洞之一。
攻击机制原理：状态更新的致命时序
重入攻击的核心在于状态更新与外部调用的顺序错误。一个存在漏洞的提款函数往往这样运行：先向调用者转账（外部调用），再扣减其在合约中记录的余额（状态更新）。
问题就出在这个顺序。当合约执行转账时，如果接收方是另一个恶意合约，转账会触发该恶意合约的 fallback 函数。此时原合约的余额尚未更新，恶意合约便在 fallback 中再次调用提款函数——由于余额记录还没变，第二次提款依然通过校验。如此循环，攻击者得以掏空合约。这一机制与 私钥生成是什么 这类底层安全话题不同，它纯粹是合约逻辑层面的缺陷。
经典案例：撼动以太坊的The DAO事件
讨论什么是重入攻击，无法回避 2016 年的 The DAO 事件。当时这个去中心化自治组织的智能合约存在重入漏洞，攻击者利用它递归提款，盗走约 360 万枚 ETH，价值数千万美元。
这一事件最终导致以太坊社区进行硬分叉，分裂出 ETC（以太坊经典）。它给整个行业上了沉重一课：即便是经过审查的合约，时序逻辑上的疏忽也可能酿成灾难。与 Oracle 是什么 引发的喂价风险、ZK证明完整教程 涉及的密码学复杂性不同，重入攻击的可怕之处在于它的逻辑极其隐蔽却破坏力巨大。
防御方法：检查-生效-交互模式
防御重入攻击有几种成熟方案，最核心的是 Checks-Effects-Interactions（检查-生效-交互） 模式。其要点是：先做条件检查，再更新内部状态（如扣减余额），最后才执行外部调用。这样即便外部调用触发重入，余额已经更新，二次提款会因校验失败而被拦截。
另一种常用手段是重入锁（Reentrancy Guard），通过一个状态变量在函数执行期间加锁，禁止同一函数被重复进入。许多审计完善的协议都默认集成这类防护。无论是 DeFi衍生品是什么 类的复杂合约，还是基础的资金池，这些防御模式都是必备的安全基线。理解这些，也是认识 以太坊扩容是什么 等更高级议题的前提。
优势视角下的风险提示
智能合约的可组合性是 DeFi 创新的基石，但也放大了重入攻击的影响面。一个合约调用另一个合约时，攻击面随之扩大。
对普通用户而言，识别风险的方式是：优先使用经过多家机构审计、运行时间长、TVL 稳定的协议。对开发者而言，除了遵循防御模式，还应进行充分的测试与形式化验证。区块链行业里，The Graph是什么 这类基础设施虽不直接涉及资金，但任何处理价值的合约都必须把安全放在首位。需要强调，没有任何合约能保证 100% 安全。
常见问题解答
重入攻击只发生在以太坊吗？ 不是。任何支持智能合约且允许外部调用触发回调的链都可能存在该风险，原理相通。
普通用户如何防范？ 用户无法修改合约，但可以选择审计完善、声誉良好的协议，避免与来路不明的新合约交互。
重入锁能完全杜绝吗？ 重入锁能有效防御同函数重入，但跨函数、跨合约的复杂重入仍需配合检查-生效-交互模式综合防护。
理解什么是重入攻击，不仅是开发者的必修课，也是每个链上用户的安全常识。智能合约的世界充满机遇，也潜藏风险，唯有敬畏安全，才能行稳致远。本文仅作技术科普，不构成任何投资建议。