DeFi借貸協議Akropolis重入攻擊事件分析_DEF

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

2、攻擊合約地址為

占星家Susan Miller在Polygon區塊鏈上發布以黃道帶為主題的NFT:金色財經報道，占星家Susan Miller于周三發布了她的第一個以黃道帶為主題的NFT集合，這是代表物理或數字資產所有權的數字代幣。12000 個數字頭像 (PFP ) 收藏品的集合將在Polygon區塊鏈上發布，Miller的團隊選擇該區塊鏈是因為其交易成本低，其水彩風格的藝術品在視覺上類似于World of Women系列。Miller于 1995 年首次推出她的占星術網站，當時是互聯網的早期。（Coindesk）[2022/8/3 2:57:21]

0xe2307837524db8961c4541f943598654240bd62f

ETH月活躍地址跌至兩年來最低:7月13日消息，據Coin Metrics報告稱，以太坊(ETH)的月活躍地址數量約為600萬，這是自2020年6月以來的最低水平。活躍的以太坊地址數量在2021年末至2022年初之間出現反彈。到2022年3月，這一數字已達到約900萬。[2022/7/13 2:09:11]

3、攻擊手法為重入攻擊

4、攻擊者獲利約200萬美元

攻擊手法分析

數據：DeFi市場正急劇去杠桿化，近六周已蒸發1240億美元:金色財經報道，據區塊鏈分析公司Glassnode最新分析數據顯示，隨著熊市的到來，ETH 價格已跌至 1,030 美元的低點，較歷史最高 4,808 美元下跌 75.2%，導致以太坊 DeFi 市場正在經歷一場急劇的去杠桿化，短短六周內超過1240 億美元的資金憑空消失，投資者目前已在現貨頭寸上嚴重虧損，并可能是歷史級別的巨大實現損失。DeFi協議TVL出現劇烈爆倉，主因兩個機制：1. 牛市期間市場積累的杠桿和循環借貸頭寸被平倉，無論是主動平倉還是通過清算。2. 由于鎖定在 DeFi 協議中的代幣的重新定價較低，加密抵押品的價值下降，這通常是由于上述第1點產生的賣方造成的。[2022/6/26 1:32:14]

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

圖一

圖二

參考鏈接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

?

Tags：DEFIEFIDEFPOLRamp DeFiParadise DefiDefinexMonopoly Millionaire Game

以太坊最新價格