POL:DeFi借貸協議Akropolis遭受重入攻擊 損失200萬美元_DEFI

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

2、攻擊合約地址為

DeFi預言機Red Stone完成天使輪融資，Aave創始人等參投:5月24日消息，DeFi預言機RedStone Oracles宣布完成天使輪融資，天使投資者包括Aave創始人Stani Kulechov、Polygon聯合創始人Sandeep Nailwal、zkSync聯合創始人Alex Gluchovski、Avalanche聯合創始人Emin GunSirer等。

RedStone Oracles表示，自2021年成立以來，已從Web3 VC那里籌集到了750萬美元，新資金將用于設計新功能，并確保嚴格的安全標準，以及致力于TON實施。此前，Red Stone于2022年8月完成700萬美元種子輪融資。[2023/5/24 15:22:37]

0xe2307837524db8961c4541f943598654240bd62f

《經濟學人》雜志計劃將其DeFi封面作為NFT出售:10月21日消息，英國著名雜志《經濟學人》宣布了一項計劃，將其9月18日版的封面作為NFT在10月25日進行拍賣。減去費用、交易費用和稅收的收益將轉到經濟學教育基金會（TEFF），這是一個專注于新聞的獨立慈善機構。該雜志將保留NFT未來二次銷售產生的版稅10%的股份，收益也將捐給TEEF。

此前消息，《經濟學人》雜志官方推特發布其新一期雜志的封面，介紹稱，去中心化金融是顛覆金融業的三大技術趨勢之一——它有可能重塑該行業的運作方式。在本周的封面文章中，我們深入了解“DeFi”兔子洞。（TheBlock）[2021/10/22 20:47:28]

3、攻擊手法為重入攻擊

Alex?Krüger：DeFi代幣下跌如此糟糕的原因不是因為估值高，而是因為估值低:分析師Alex?Krüger發推表示，DeFi代幣下跌如此糟糕的原因不是因為估值高，而是因為估值低。[2021/6/21 23:52:17]

4、攻擊者獲利約200萬美元

攻擊手法分析

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

圖一

圖二

參考鏈接：

https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：DEFDEFIEFIPOLDeFireXChargeDeFi ChargePlenty DeFiapollo幣有人買過嗎

中幣下載