Über 1.2 Milliarden aUSD, die in einem Exploit von Polkadots DeFi-Hub Acala geprägt wurden

Polkadots Drehscheibe für dezentrale Finanzen (DeFi), Acala, erlitt am Sonntag einen schweren Angriff auf seinen neu eingeführten Liquiditätspool. Der Exploit ermöglichte es dem Hacker, mehr als 1.2 Milliarden US-Dollar, den Stablecoin des Projekts, zu prägen. 

Kurz nach dem Hack informierte das Acala-Team die Benutzer auf Twitter und stellte fest, dass der Exploit von einer „Fehlkonfiguration des iBTC/aUSD-Liquiditätspools“ herrührte. Die Fehlkonfiguration wurde laut Projekt nun behoben. 

Wir haben das Problem als eine Fehlkonfiguration des iBTC/aUSD-Liquiditätspools (der heute früher live gegangen ist) identifiziert, der zu fehlerhaften Prägungen in Höhe eines erheblichen Betrags von aUSD führte
1/

– Acala (@AcalaNetwork) 14. August 2022

Acala unterbricht On-Chain-Aktivitäten

Onchain-Daten enthüllt dass sich die meisten der geprägten Stablecoins noch auf dem Acala-Konto befinden. Der Angreifer tauschte einen winzigen Bruchteil der Stablecoins gegen Acalas nativen Token ACA und vier weitere Token. Zum Zeitpunkt des Verfassens dieses Artikels hielt das Konto einen USD im Wert von etwa 1.27 Milliarden US-Dollar, was mehr als 99 % der geprägten Token ausmacht. 

Während die Acala-Community noch keine endgültige Entscheidung über den Exploit treffen muss, stellte das Team fest, dass es die betroffenen Konten von der Übertragung der Token ausgeschlossen hatte. 

Laut dem Projekt wurden auch On-Chain-Aktivitäten wie Swaps und Cross-Chain-Messaging für andere Benutzer bis auf weiteres eingestellt. Das Protokoll stellte fest, dass seine Orakelpalette ebenfalls ausgesetzt wurde, sodass sich die Benutzer keine Sorgen über eine erzwungene Liquidation machen müssen. 

Inzwischen aUSD, die erste Stablecoin auf Polkadot, reagierte negativ auf den Vorfall und verlor seine USD-Parität. Nachdem der Stablecoin um fast 50 % auf einen Handelspreis von 0.57 $ gefallen war, wurde er bei Redaktionsschluss bei 0.89 $ gehandelt.

Acalas Angriff ist vielleicht nicht das Ende

Obwohl Acala die Fehlkonfiguration in seinem Pool behoben hat, Der Vorfall erhöht die Zahl der dezentralisierten Anwendungen (dApps), die Opfer von Hackern geworden sind, die immer nach intelligenten Vertragsfehlern Ausschau halten, die sie ausnutzen können. 

Victor Young, der Gründer von Analog, einem auf Layer-0, Proof-of-Time (PoT) basierenden Projekt, kommentierte den Acala-Hack und stellte fest, dass Polkadot aufgrund seiner Relaiskette „von Grund auf sicher“ sei, dasselbe aber nicht über Parachains gesagt werden 

Er erklärte, dass solche dApp-Exploits in Zukunft auftreten könnten, wenn Smart-Contract-Entwickler ihre Codes nicht regelmäßig überprüfen. 

„Meiner Meinung nach werden wir weiterhin mehr dieser Angriffe sehen, weil viele dApp-Entwickler nicht die Kleinarbeit leisten, wenn sie die Sicherheitseigenschaften ihres Codes definieren. Selbst wenn der Smart Contract geprüft wird, ist der Code möglicherweise nicht narrensicher. In dieser Hinsicht müssen Entwickler und QA-Experten kontinuierlich evaluieren, um sicherzustellen, dass der Code seine Ziele erreicht“, sagte er.