DEF:DeFi借貸協議Akropolis重入攻擊事件分析_Restaurant DeF

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：1、Akropolis確實遭到攻擊2、攻擊合約地址為0xe2307837524db8961c4541f943598654240bd62f3、攻擊手法為重入攻擊4、攻擊者獲利約200萬美元攻擊手法分析

加密交易平臺Defy完成550萬美元種子輪融資:11月18日消息，印度社交加密交易平臺Defy完成550萬美元種子輪融資，Y Combination、Goat VC、JAM Fund和Goodwater Capital參投。Defy正在打造一個基于社交和社區的加密貨幣交易所。該平臺允許用戶創建個人資料并分享加密交易組合，與朋友和關注者互動。新資金將用于在工程、產品和其他垂直領域擴展團隊。（inc42）[2021/11/18 22:01:39]

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

幣贏CoinW將于9月9日15:00在DeFi專區上線ULU:據官方消息，幣贏CoinW將于9月9日15:00在DeFi專區上線ULU/USDT交易對，同時開啟“充值送ULU，-0.1%Maker費率”活動。

據悉，UniversalLiquidityUnion(ULU,通用流動性聯盟),將匯聚萬幣的流動性，并推出結合Uniswap和Balancer優點的DEX方案，ULU具有獨特的挖礦風控模型，可以極大地降低了無常損失。詳情點擊原文鏈接。[2020/9/9]

圖一

火幣DeFi實驗室運營負責人高潮：DeFi是未來五到十年的重要金融方式:在8月26日下午舉辦的《數字資產投資策略論壇》主題探討活動上，火幣DeFi實驗室運營負責人高潮與DeFiner創始人Jason Wu、藍狐筆記創始人藍狐、貝寶金融全球合作伙伴關系負責人悟空、dForce創始人楊民道等五位專家解讀今年市場最熱板塊——DeFi的投資邏輯。

高潮分析了今年以來DeFi熱潮興起的原因，他指出今年的DeFi熱與此前行業的“炒作熱”有本質區別，核心原因在于DeFi基礎協議經過2年的發展日漸完善以及流動性挖礦模式的帶動。高潮表示，對于DeFi的看好和投資并不是一個短期機會，而是未來5-10年的重要金融方式。包括火幣在內的眾多頭部機構、平臺已經開始系統性加進布局，未來可重點關注基礎協議、穩定幣、DEX領域、聚合類協議等的發展。[2020/8/26]

圖二參考鏈接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

Tags：DEFDEFIEFIDEPODEFLCTdefibox幣價格Restaurant DeF

幣安app官網下載