POL:DeFi借貸協議Akropolis重入攻擊事件分析

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

當前DeFi協議總鎖倉量跌至2000億美元下方:金色財經報道，據DefiLlama數據顯示，目前DeFi協議總鎖倉量1957.8億美元，24小時下跌3.66%。鎖倉資產排名前五分的公鏈分別為ETH鏈上鎖倉量為1084.7億美元，24小時下跌3%；Terra鏈上鎖倉量為220.3億美元，24小時下跌5.01%；BSC鏈上鎖倉量為116.5億美元，24小時下跌3.32%；Avalanche鏈上鎖倉量為107.4億美元，24小時下跌1.55%；Fantom鏈上鎖倉量為89.5億美元，24小時下跌11.62%。[2022/3/5 13:39:25]

2、攻擊合約地址為

數據：當前DeFi協議總鎖倉量為1726億美元:金色財經報道，數據顯示，目前DeFi協議總鎖倉量1726億美元，重復率約為27.49%，真實總鎖倉量1251億美元。鎖倉資產排名前五分別為PancakeSwap（189億美元）、Maker（177億美元）、Curve（170億美元）、Compound（129億美元）、AaveV2（113億美元）。[2021/11/21 7:02:03]

0xe2307837524db8961c4541f943598654240bd62f

3、攻擊手法為重入攻擊

Polygon宣布與可組合性DeFi平臺Furucombo達成合作:6月7日消息，以太坊擴容方案Polygon宣布與可組合性DeFi平臺Furucombo達成合作。此次合作將使Furucombo擴大組合范圍，為每個用戶提供更全面的DeFi協議，同時減少費用及確認時間。目前，Furucombo已經整合了以下部署在Polygon上的流行DeFi協議，如Aave、Sushiswap、Quickswap和Curve。很快，將支持更多的協議。[2021/6/8 23:19:14]

4、攻擊者獲利約200萬美元

DeFi 概念板塊今日平均漲幅為3.86%:金色財經行情顯示，DeFi 概念板塊今日平均漲幅為3.86%。47個幣種中37個上漲，10個下跌，其中領漲幣種為：UMA(+21.72%)、BAL(+16.79%)、RSR(+15.26%)。領跌幣種為：BNT(-12.32%)、HDAO(-4.15%)、SWFTC(-2.28%)。[2020/12/17 15:28:26]

攻擊手法分析

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

圖一

圖二

參考鏈接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：DEFIEFIDEFPOLDEFIDOPyrrho DeFiDefiskeletonsAPOLLO

TRX