DeFi借貸協議Akropolis遭受重入攻擊 損失200萬美元_EFI

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官Ana Andrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺（Beosin-Eagle Eye）報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

2、攻擊合約地址為

0xe2307837524db8961c4541f943598654240bd62f

DeFi借貸協議規模創歷史新高，超140億美元:金色財經報道，據Debank數據顯示，截止今日10時，DeFi借貸協議規模創歷史新高，超140億美元，為140.3億美元。其中：Compound占比為40.81%位居第一，Venus占比25.55%位居第二，Maker占比22.07%位居第三。注：去中心化的借貸市場是一個基于智能合約的網絡系統，加密貨幣持有者可以在這里將他們的鏈上資產/通證借給他人來獲得利潤。[2021/4/2 19:41:18]

3、攻擊手法為重入攻擊

4、攻擊者獲利約200萬美元

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

Ripple首席技術官：Flare Network利用各個區塊鏈的不同部分將DeFi帶入XRP:Ripple首席技術官David Schwartz在接受采訪時表示，Flare Network將智能合約帶入XRP的努力將帶來廣泛的應用案例：“他們（Flare Network）所做的一切讓我印象深刻。Flare使用來自不同區塊鏈的各個部分—以太坊智能合約、Avalanche共識和XRP結算——構建了一個網絡。他們給XRP世界帶來的本質上是一個DeFi解決方案。所以他們有一個快速可靠的結算機制，即XRP，而且他們有辦法把以太坊式的智能合約帶到XRP的世界中來。”Schwartz還表示，Flare從眾多加密交易所獲得空投支持，為XRP建立新生態系統邁出了堅實的第一步。（The Daily Hodl）[2020/12/12 14:59:08]

Gate.io “天天理財”第十期DeFi流動性挖礦賺USDG明日12:00開啟:據官方公告，Gate.io全新理財福利產品《Gate.io“天天理財” 第九期 GT鎖倉挖礦賺USDG 》于今日中午12:00上線后30秒售罄。Gate.io 將于10月21日（明日）中午12:00上線《Gate.io“天天理財” 第十期DeFi流動性挖礦賺USDG（7天）》，總額度為100萬USDG，鎖倉期限7天，利息幣種為USDG。詳情點擊原文鏈接。[2020/10/20]

圖一

圖二

參考鏈接：

https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol 函數，存在調用 tkn 地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：EFIDEFIDEFXRPDefinixPhoenix Defi FinanceXdef Financexrp幣最新價格行情

火幣網下載官方app