Protokół DeFi Akropolis w wyniku hacku stracił 2 mln dolarów

Protokół zdecentralizowanych finansów (DeFi) Akropolis, stał się najnowszym celem hakerów. Złodziejom udało się ukraść ponad 2 miliony dolarów w stablecoinie DAI. Platforma oficjalnie powiadomiła o ataku w czwartek wieczorem i przedstawiła wstępne informacje dot. taktyki stosowanej przez napastników. W tym momencie Akropolis dokonuje przeglądu kodu i procedury bezpieczeństwa.

Boom na DeFi przyciąga hakerów

Akropolis to protokół pożyczkowy DeFi, który oferuje też usługi oszczędnościowe. Użytkownicy platformy mogą zaciągać pożyczki w cyfrowych walutach oraz zarabiać odsetki od depozytów zabezpieczających. W związku z ostatnim hypem na DeFi oraz yield farming, tego typu protokoły stały się coraz bardziej popularne. Hakerzy do kradzieży wykorzystali funkcje oszczędnościową, która z kolei wykorzystuje inny protokół DeFi - Curve.

"W ~14:36 GMT zauważyliśmy rozbieżność w APYs naszych puli stablecoinów i zidentyfikowaliśmy, że ~2.0mn DAI zostało odprowadzone z puli yCurve i sUSD"

- ogłosił zespół projektu. Do przeprowadzenia hacku, napastnik wykorzystał kombinację ataków re-entrancy i dYdX flash loan.

Akropolis przeszedł audyt

Chociaż ofiarami hakerów stają się głównie nieaudytowane protokoły DeFi, Akropolis zaznaczył, że został on skontrolowany przez dwie niezależne firmy, CertiK oraz SmartDec i Pessimistic. Założycielka i CEO Akropolis, Ana Andrianova tweetowała, że obie firmy przegapiły dwa "wektory ataku" w swoim audycie.

Not quite, we will publish a detailed retro shortly. Two attack vectors have unfortunately been missed despite two audits. I will link a post-mortem and next steps here.

— Ana A. (@ana_andrianova) November 12, 2020

Oprócz DAI, protokół ten obsługuje również Compound DAI, Compound USDC, AAVE sUSD, AAVE bUSD, Curve bUSD, Curve sBTC oraz dwie natywne pule AKRO i ADEL, które nie zostały naruszone.

"Szukamy sposobów na zrekompensowanie użytkownikom strat w sposób, który jest trwały dla projektu, i przedstawimy społeczności propozycję przed podjęciem ostatecznej decyzji"

- dodano w ogłoszeniu.