Ponad 1.2 miliarda dolarów wybitych w ramach wykorzystania platformy DeFi firmy Polkadot Acala

Zdecentralizowane centrum finansowe Polkadot (DeFi) Acala doznało w niedzielę poważnego ataku na nowo uruchomioną pulę płynności. Exploit pozwolił hakerowi wybić ponad 1.2 miliarda dolarów, czyli stablecoina projektu. 

Wkrótce po włamaniu zespół Acala zaktualizował użytkowników na Twitterze, zauważając, że exploit pochodził z „błędnej konfiguracji puli płynności iBTC/aUSD”. Zgodnie z projektem błędna konfiguracja została teraz naprawiona. 

Zidentyfikowaliśmy problem jako błędną konfigurację puli płynności iBTC/aUSD (która została uruchomiona wcześniej dzisiaj), co spowodowało powstanie błędnych mennic o znacznej wartości USD
1/

— Acala (@AcalaNetwork) 14 sierpnia 2022 r.

Acala zawiesza działania w sieci

Dane onchain ujawnia że większość wybitych stablecoinów nadal znajduje się na koncie Acala. Atakujący wymienił niewielki ułamek stablecoinów na natywny token ACA ACA i cztery inne tokeny. W chwili pisania tego tekstu konto zawierało około 1.27 miliarda USD, co stanowiło ponad 99% wybitych tokenów. 

Chociaż społeczność Acala nie podjęła jeszcze ostatecznej decyzji w sprawie exploita, zespół zauważył, że zawiesił konta biorące udział w transferze tokenów. 

Zgodnie z projektem, działania on-chain, takie jak swapy i wiadomości cross-chain, zostały również wstrzymane dla innych użytkowników do odwołania. W protokole zauważono, że jego paleta wyrocznia również została zawieszona, więc użytkownicy nie muszą się martwić o przymusową likwidację. 

Tymczasem USD, pierwszy stablecoin na Polkadocie, negatywnie zareagował na incydent i stracił parytet dolarowy. Po spadku o prawie 50% do ceny handlowej 0.57 USD, stablecoin wyceniano w momencie publikacji na poziomie 0.89 USD.

Atak Acali może nie być końcem

Chociaż Acala naprawiła błędną konfigurację w swojej puli, incydent zwiększa liczbę zdecentralizowanych aplikacji (dApps), które padły ofiarą hakerów, którzy zawsze wypatrują błędów w inteligentnych umowach, które można wykorzystać. 

Victor Young, założyciel Analog, projektu opartego na warstwie 0, opartego na proof-of-time (PoT), skomentował włamanie do Acali, zauważając, że Polkadot jest „bezpieczny z założenia” ze względu na łańcuch przekaźników, ale to samo nie może można powiedzieć o parachains 

Stwierdził, że takie exploity dApp mogą wystąpić w przyszłości, jeśli twórcy inteligentnych kontraktów nie będą regularnie sprawdzać swoich kodów. 

„Moim zdaniem będziemy nadal widzieć więcej takich ataków, ponieważ wielu programistów dApp nie wkłada pracy w definiowanie właściwości bezpieczeństwa swojego kodu. Nawet jeśli inteligentna umowa jest poddawana audytowi, kod może nie być niezawodny. W związku z tym programiści i eksperci ds. kontroli jakości muszą stale oceniać, aby zapewnić, że kod osiągnie swoje cele” – powiedział.