前言：一行代码，损失1.2亿美元的痛
2023年某DeFi项目被黑客攻击，损失1.2亿美元，最后溯源到智能合约里的一行代码：
// 漏洞代码：先转账再更新余额
(bool success, ) = msg.sender.call{value: amount}(\”\”);
require(success, \”转账失败\”);
balances[msg.sender] -= amount; // 余额更新在转账之后
就是这行“先转账后减余额”的逻辑，让黑客利用重入攻击反复调用函数，卷走了所有资金。
智能合约的安全不是“多写几行注释”的小事——代码上链后无法修改，一个小漏洞可能让数月开发成果归零，甚至面临法律追责。这篇文章总结了5个“能救命”的安全开发技巧，每个都附真实审计案例（包含黑客攻击路径和修复代码），看完至少能避开80%的致命漏洞。
技巧1：用“ Checks-Effects-Interactions”模式堵死重入攻击
漏洞原理：外部调用在前，状态更新在后，给黑客可乘之机
黑客会在接收ETH/代币的合约里写“回调函数”，在转账完成后再次调用原合约的函数，利用未更新的状态重复获利（比如重复提款）。
审计案例：The DAO事件（史上最著名重入攻击，损失5000万美元）
2016年的The DAO合约，提款函数先转账
