近日，DeFi借贷协议Akropolis遭到网络黑客的攻击。Akropolis创始人兼首席执行官AnaAndrianova表示，攻击者利用在衍生品平台dYdX的闪电贷进行重入攻击，造成了200万美元的损失。
成都链安团队在接到自主独立研发的区块链安全态势感知平台报警后，第一时间对本次攻击事件进行了调查，结果发现：
1、Akropolis确实遭到攻击
DeFi黑客识别协议Lossless Protocol上线Fantom:金色财经消息，DeFi黑客识别协议Lossless Protocol宣布现已在Fantom上线，此前该项目已上线以太坊、BNBChain和Polygon和Avalanche。[2022/6/9 23:02:41]
2、攻击合约地址为
0xe2307837524db8961c4541f943598654240bd62f
3、攻击手法为重入攻击
4、攻击者获利约200万美元
JGN即将推出DeFi for Good 慈善平台:4月1日消息，官方公告，Juggernaut (JGN)即将上线全新生态DeFi for Good 慈善平台，“JGN为发扬战争中的人道主义精神，为战乱国家捐赠了价值 5 万美金$JGN，表示对人道主义的关怀和敬意。
当前JGN已经获得高盛集团（加拿大）、澳大利亚SFIP基金、币安 “种子基金”、软银集团（UK）、AVAX基金、LD Capital等多家机构战略投资。[2022/4/2 13:59:37]
攻击手法分析
通过对链上交易的分析，发现攻击者进行了两次铸币，如下图所示：
Gate.io将上线SASHIMI流动性DeFi锁仓GT理财:根据Gate.io信息，Sashimi将上线GT锁仓挖矿，包括GT/ETH交易对和GT/sashimi交易对。
据了解，此次更新将在征求社区意见和等待48小时锁定期后生效。生效后GT将上线Sashimi流动性挖矿平台，去中心化平台的用户可以通过抵押GT获得收益回报。Gate.io平台同时将上线SASHIMI流动性挖矿理财产品。详情可关注Gate.io理财宝。由于DeFi类产品风险较高，投资请务必注意风险。[2020/9/13]
新DeFi项目Zombie已开始分发代币，支持质押DAI等代币:新DeFi项目Zombie.Finance已开始分发代币。根据Github，Zombie是社交实验游戏。ZOMBIE代币结合Ampleforth经济政策的简化版本和YFI的分配机制，最后添加PUBG的圈机制。ZOMBIE只根据市场情况收缩供应，最初目标是每ZOMBIE 100美元。如果ZOMBIE价格没有达到100美元，将每24小时执行一次合约rebase。每次rebase后，如果用户账户ZOMBIE余额不超过1 ZOMBIE，则其ZOMBIE将被永久销毁。
ZOMBIE代币有7个独立质押池，总供应306780 ZOMBIE，代币分发期为10周，开始时间为北京时间8月24日18点。代币分发方案：Dai池20% 、Uniswap Dai-Zombie LP池35%、Dice池5% 、Uniswap Eth-Dice LP池 10%、Shrimp池5% 、Uniswap Eth-Shrimp LP池20% 、World of tokens LP池5%。为了激励早期玩家，前72小时ZOMBIE奖励将翻倍。
该项目没有预售和预挖 ，需要注意的目前处于测试阶段，未经过审计。[2020/8/24]
图一
图二
参考链接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2
但据oko.palkeo.com交易调用情况显示，攻击者仅调用了一次deposit函数，如下图所示：
图三
通过跟踪函数调用，成都链安团队发现，攻击者在调用合约的deposit时，将token设置为自己的攻击合约地址，在合约进行transferFrom时，调用的是用户指定的合约地址，如下图所示：
图四
通过分析代码发现，在调用deposit函数时，用户可指定token参数，如下图所示：
图五
而deposit函数调用中的depositToprotocol函数，存在调用tkn地址的safeTransferFrom函数的方法，这就使得攻击者可以通过构造“safeTransferFrom”从而进行重入攻击。
图六
事件小结
Akropolis作为DeFi借贷、存储服务提供商，其存储部分使用的是Curve协议，这在当天早些时候的攻击中曾被利用。攻击者从该项目的yCurve和sUSD池中取出了5万美元的DAI，而在耗尽这些池子前，共计窃取了价值200万美元的DAI。
在本次攻击事件中，黑客使用重入攻击配合dYdX闪电贷对存储池发起了侵占。在协议中，资产存储池可谓是防守重点，作为项目方，对资金池的安全预防、保护措施应置于最优先级别。特别是，为应对黑客不断变化的攻击手段，定期全面检查和代码升级缺一不可。
最后，成都链安强烈呼吁，对于项目方而言，安全审计和定期检测切勿忘怀；对于投资者而言，应时刻不忘安全警戒，注意投资风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。