DeFi借貸協議Akropolis遭受重入攻擊 損失200萬美元_EFI:DEFI

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官Ana Andrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺（Beosin-Eagle Eye）報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

2、攻擊合約地址為

0xe2307837524db8961c4541f943598654240bd62f

DeFi聚合平臺Instadapp推出新功能Interop:12月3日消息，DeFi聚合平臺Instadapp宣布推出新功能Interop，該功能對應跨鏈基礎設施，可允許用戶跨鏈轉移其DeFi資產。據悉，目前Interop服務僅支持Polygon和Avalanche上的Aave用戶，用戶可不平倉而直接將其資產跨鏈1:1轉移，僅收取0.15%的跨鏈橋費用。[2021/12/3 12:49:19]

3、攻擊手法為重入攻擊

4、攻擊者獲利約200萬美元

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

Defi工具RugDoc、ETH Hole和vFats上線IoTeX公鏈:?官方消息，Defi工具RugDoc, ETH Hole和vFats已上線IoTeX公鏈，為即將上線的IoTeX 生態項目提供項目風險收益評估，行情追蹤，鏈上分析等系列工具。

據悉，IoTeX生態發展迅速，即將上線新一批DeFi，NFT和元宇宙鏈游生態項目。此外，已有超過300個開發者團隊申請開發基于IoTeX的MachineFi機器金融場景的Dapp項目。

?IoTeX作為硅谷開源項目成立于2017年，以鏈接現實世界和數字世界為發展目標，是與以太坊全兼容的高性能公有區塊鏈。[2021/9/16 23:30:24]

高盛報告：看好DeFi發展:高盛分析師發布的Coinbase分析報告，其中給予了Coinbase買入評級，并將目標價定在了306美元。此外，報告中還談到了Defi與中心化交易所的競爭。DeFi應用的開發仍處于起步階段，相對于近2萬億美元的加密貨幣市值，DeFi應用上的加密貨幣總價值仍相對較低，僅670億美元。雖然DeFi被認為是Coinbase等中心化實體的競爭對手，但分析師認為DeFi的發展有望大大拓展加密經濟以及Coinbase的業務。（Coindesk）[2021/5/25 22:41:33]

圖一

圖二

參考鏈接：

https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol 函數，存在調用 tkn 地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：EFIDEFIDEFIOTDeFireXDEFLYiota幣未來值得投資嗎

以太坊