DEF:DeFi借貸協議Akropolis重入攻擊事件分析_defi幣種

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

DeFi錢包Ambire支持使用WALLET、xWALLET支付Gas費:據官方消息，DeFi錢包Ambire近日宣布，支持使用WALLET、xWALLET代幣支付Gas費用。

此外，Ambire推出為期三周（從4月1日開始）的Gas費折扣活動。[2022/4/4 14:03:46]

2、攻擊合約地址為

0xe2307837524db8961c4541f943598654240bd62f

3、攻擊手法為重入攻擊

4、攻擊者獲利約200萬美元

DeFi基準利率今日為3.33%:金色財經報道，據同伴客數據顯示，08月04日DeFi去中心化金融基準利率為3.33%，較前一日下跌0.08。同期美國國債抵押回購率（Repo Rate）為0.05%，二者利率差為3.25%。

DeFi基準利率代表了DeFi融資難易程度，利率越高說明融資成本越高，利率越低說明融資成本越低。其與Repo Rate的利率差則便于DeFi與傳統市場作進行同類比較。[2021/8/4 1:33:31]

攻擊手法分析

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

歐易OKEx DeFi播報：DeFi總市值1238.1億美元，歐易OKEx平臺ZKS領漲:據歐易OKEx統計，DeFi項目當前總市值為1238.1億美元，總鎖倉量為683.20億美元；

行情方面，今日DeFi代幣普漲，歐易OKEx平臺DeFi幣種漲幅最大前三位分別是ZAS、HDAO、ANT；

截至18:30，OKEx平臺熱門DeFi幣種如下：[2021/4/2 19:41:15]

火幣公鏈汪毅江：CeFi相比于DeFi有兩大問題:4月21日晚間，在主題為“繁榮與契機，技術與機制構建DeFi未來”的線上論壇活動中，火幣公鏈技術專家汪毅江表示，CeFi是通過把自己藏起來，讓別人找不到弱點的隱私保護系統安全，這是非常傳統的解決方案，并有兩個重大問題。第一，數據不透明，不公開，用戶既不能對公平性做出判斷，也不能對系統風險性做出判斷；第二，從長期看CeFi相比于DeFi不利于市場的繁榮，CeFi是通過長期品牌經營，資產規模建立和維護長期信譽。而DeFi通過智能合約代碼，建立信譽，更鼓勵產品創新，并降低中介費用，由技術驅動的行業發展，更具有發展前景。DeFi目前處于早期階段，但隨著時間的推移，DeFi會在困難和問題中成長，并逐漸走向成熟。[2020/4/21]

圖一

圖二

參考鏈接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：EFIDEFIDEFPOSIDefi FactoryDefinexdefi幣種POSI價格

AVAX