El protocolo de préstamos DeFi Akropolis sufrió un ataque de reingreso y perdió $2 millones

Recientemente, el protocolo de préstamos DeFi Akropolis fue atacado por piratas informáticos. La fundadora y directora ejecutiva de Akropolis, Ana Andrianova, dijo que los atacantes utilizaron préstamos rápidos en la plataforma de derivados dYdX para llevar a cabo un ataque de reingreso, lo que provocó una pérdida de $ 2 millones.

Después de recibir una alarma de la plataforma de conocimiento de la situación de seguridad de cadena de bloques de desarrollo propio (Beosin-Eagle Eye), el equipo de Chengdu Lianan investigó inmediatamente el ataque y descubrió que:

1. Efectivamente, Akropolis fue atacada

2. La dirección del contrato de ataque es

0xe2307837524db8961c4541f943598654240bd62f

3. El método de ataque es el ataque de reentrada

4. El atacante ganó alrededor de $ 2 millones

A través del análisis de transacciones en la cadena, se encontró que el atacante había acuñado monedas dos veces, como se muestra en la siguiente figura:

BTC cayó por debajo de la marca de los $49 000 con una caída intradiaria del 5,07 %: según datos de Huobi Global, BTC cayó a corto plazo y cayó por debajo de la marca de los $49 000. Ahora se reporta en $48 984,13, con una caída intradiaria del 5,07 %. fluctúa mucho Por favor, haga un buen trabajo en el control de riesgos. [2021/9/7 23:07:20]

Figura 1

Figura 2

Enlace de referencia:

https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

Sin embargo, según la llamada de transacción de oko.palkeo.com, el atacante solo llamó una vez a la función de depósito, como se muestra en la siguiente figura:

Figura 3

Al rastrear la llamada de función, el equipo de Chengdu Lianan descubrió que cuando el atacante llama al depósito del contrato, establece el token como su propia dirección de contrato de ataque, y cuando el contrato realiza la transferenciaDesde, llama a la dirección de contrato especificada por el usuario, como se muestra en la siguiente figura:

Figura 4

Al analizar el código, se encuentra que al llamar a la función de depósito, el usuario puede especificar el parámetro token, como se muestra en la siguiente figura:

Figura 5

La función depositToprotocol en la llamada de función de depósito tiene un método para llamar a la función safeTransferFrom de la dirección tkn, lo que permite al atacante realizar un ataque de reingreso mediante la construcción de "safeTransferFrom".

Figura 6

Como proveedor de servicios de préstamo y almacenamiento de DeFi, Akropolis utiliza el protocolo Curve para su almacenamiento, que fue explotado en el ataque ese mismo día. Los atacantes retiraron $ 50,000 en DAI de los grupos yCurve y sUSD del proyecto, robando un total de $ 2 millones en DAI antes de agotar esos grupos.

En este ataque, el pirata informático utilizó el ataque de reingreso para cooperar con el préstamo flash dYdX para invadir el grupo de almacenamiento. En el acuerdo, se puede decir que el fondo común de almacenamiento de activos es el centro de la defensa. Como parte del proyecto, se debe dar la máxima prioridad a las medidas de prevención y protección de seguridad para el fondo común. En particular, las inspecciones exhaustivas periódicas y las actualizaciones de código son indispensables para hacer frente a los métodos de ataque en constante cambio de los piratas informáticos.

Finalmente, Chengdu Lianan hace un fuerte llamado a que las partes del proyecto no olviden las auditorías de seguridad y las inspecciones periódicas; para los inversores, siempre se deben tener en cuenta las alertas de seguridad y se debe prestar atención a los riesgos de inversión.

Tags：

Ripple