FTX:DeFi借貸協議Akropolis重入攻擊事件分析_POST幣

近日，DeFi借貸協議Akropolis遭到網絡黑客的攻擊。Akropolis創始人兼首席執行官AnaAndrianova表示，攻擊者利用在衍生品平臺dYdX的閃電貸進行重入攻擊，造成了200萬美元的損失。

成都鏈安團隊在接到自主獨立研發的區塊鏈安全態勢感知平臺報警后，第一時間對本次攻擊事件進行了調查，結果發現：

1、Akropolis確實遭到攻擊

2、攻擊合約地址為

FSB呼吁制定更嚴格的全球加密貨幣規則:金色財經報道，由美國、歐盟等二十多個司法管轄區的監管機構組成的金融穩定委員會（FSB）發布了確保加密行業一致和全面監管的建議。這些建議建立在最初于去年10月份提出的建議基礎上，重點是防止FTX和Celsius等公司被指控的行為。[2023/7/17 10:59:47]

0xe2307837524db8961c4541f943598654240bd62f

3、攻擊手法為重入攻擊

新加坡政府本周將面臨議會對FTX后果的質詢，包括淡馬錫對FTX投資的盡職調查:11月28日消息，新加坡總理李顯龍和新加坡副總理Lawrence Wong本周將面臨大量議會質詢，問題涉及散戶投資者造成的損失，以及國有投資機構淡馬錫控股的盡職調查。淡馬錫前首席執行官Ho Ching周末在Facebook上發帖稱:“一家沒有成人監管、管理不善的公司，如果虧損，那將是我們臉上的恥辱。”她為淡馬錫的整體戰略進行了辯護，稱“淡馬錫的一些最佳投資是通過反向投資完成的。”淡馬錫網站上的一個解釋頁面已更新，稱對FTX進行了多輪盡職調查，淡馬錫“詢問了Alameda和FTX之間的關系、優惠待遇和分離情況，并得到了具有合同約束力的適當確認。”

此前11月17日消息，淡馬錫表示，減記對FTX 2.75億美元全部投資，在加密貨幣方面沒有直接敞口。（彭博社）[2022/11/28 21:07:07]

4、攻擊者獲利約200萬美元

數據：比特幣與黃金的相關性創歷史新高:10月4日消息，加密市場分析平臺Kaiko Data在其10月3日發布的數據簡報中表示，在上周，比特幣與黃金的相關性達到了一年多來的最高水平。[2022/10/4 18:39:13]

攻擊手法分析

通過對鏈上交易的分析，發現攻擊者進行了兩次鑄幣，如下圖所示：

圖一

圖二

參考鏈接：https://etherscan.io/tx/0xddf8c15880a20efa0f3964207d345ff71fbb9400032b5d33b9346876bd131dc2

但據oko.palkeo.com交易調用情況顯示，攻擊者僅調用了一次deposit函數，如下圖所示：

圖三

通過跟蹤函數調用，成都鏈安團隊發現，攻擊者在調用合約的deposit時，將token設置為自己的攻擊合約地址，在合約進行transferFrom時，調用的是用戶指定的合約地址，如下圖所示：

圖四

通過分析代碼發現，在調用deposit函數時，用戶可指定token參數，如下圖所示：

圖五

而deposit函數調用中的depositToprotocol函數，存在調用tkn地址的safeTransferFrom函數的方法，這就使得攻擊者可以通過構造“safeTransferFrom”從而進行重入攻擊。

圖六

事件小結

Akropolis作為DeFi借貸、存儲服務提供商，其存儲部分使用的是Curve協議，這在當天早些時候的攻擊中曾被利用。攻擊者從該項目的yCurve和sUSD池中取出了5萬美元的DAI，而在耗盡這些池子前，共計竊取了價值200萬美元的DAI。

在本次攻擊事件中，黑客使用重入攻擊配合dYdX閃電貸對存儲池發起了侵占。在協議中，資產存儲池可謂是防守重點，作為項目方，對資金池的安全預防、保護措施應置于最優先級別。特別是，為應對黑客不斷變化的攻擊手段，定期全面檢查和代碼升級缺一不可。

最后，成都鏈安強烈呼吁，對于項目方而言，安全審計和定期檢測切勿忘懷；對于投資者而言，應時刻不忘安全警戒，注意投資風險。

?

Tags：FTXPOSPOSIDEPANIME Vault (NFTX)POST幣Position Tokendep幣行情

幣安幣