Polkadot 生态系统的稳定币 Acala ($aUSD) 在周末遭到了攻击，导致恶意行为者凭空铸造了 1.2 亿美元。 Acala 团队通过紧急治理提案“暂停”了运营以调查该问题。
15月XNUMX日， 治理建议 在 Acala 委员会发布链上报告后，被提交“有效燃烧” 1.288 亿美元 aUSD。
黑客在一夜之间印制了 1.2 亿美元的美元，而我的时间线几乎没有看到。
在这个特定时刻，我觉得事情比市场定价更悲观。
我们有很多工作要做。 https://t.co/HE2MGlXk0d
- 迈克🌪️as（🏌️♂️，⛳️）（@mdudas） 2022 年 8 月 14 日
Acala 最初于 3 月 14 日凌晨 XNUMX 点左右通知用户该问题，称他们正在努力“缓解该问题”。 漏洞利用的来源是公开的 报道 1 月 14 日英国夏令时下午 10 点，仅 99 小时后。 该公告证实，超过 XNUMX% 的“错误铸造的 aUSD [留在] Acala 平行链上”。
我们已将该问题确定为 iBTC/aUSD 流动性池（今天早些时候上线）的错误配置，导致大量 aUSD 出现错误
1/— 阿卡拉 (@AcalaNetwork) 2022 年 8 月 14 日
在确定漏洞利用原因的 Twitter 线程中，Acala 表示已确定“收到错误铸造的 aUSD 的钱包地址……以及链上活动跟踪”正在进行中。
此后，错误配置已得到纠正，收到错误铸造的 aUSD 的钱包地址已被识别，对这些地址的链上活动跟踪正在进行中
2/— 阿卡拉 (@AcalaNetwork) 2022 年 8 月 14 日
关于对更广泛的 Polkadot 生态系统的潜在影响，Analog 的创始人兼首席架构师 Victor Young 评论说
“我仍然相信 Polkadot 的基础设施在设计上是安全的……但 Acala Network 却不能这样说，Acala Network 是一个为平台上的流动性、经济活动和稳定币效用而定制的特定应用链。
在我看来，我们将继续看到更多此类攻击，因为许多 dApp 开发人员在定义其代码的安全属性时并未投入大量精力。 即使智能合约经过审计，代码也未必万无一失。”
治理框架和领导
Acala Network 致力于社区治理提案，以决定事件的解决方案。 目前，Acala 有一个包含五个地址的管理委员会。
据 概念路线图 对于 Acala 来说，“完全民主”仍处于“规划”阶段。 几乎完成的第三阶段路线图指出：
“Acala 基金会关于网络的决定（运行时升级、改进等）通过指定的 Acala 总委员会投票在链上透明化。”
Acala 还启用了民主元素，“以便任何人都可以通过在一定时期内存入最低数量的代币来提议公投。” 但是，“完全民主”计划在第 4 阶段进行，在满足以下检查点之前不会实施。
– 所有 DeFi 协议都是自举的，在合理的时间内以高稳定性和安全性运行（以确保协议在极端市场波动期间是健全的。）
– 网络有足够的流动性为协议提供动力，流动性是可持续的。
– 为每个 DeFi 协议建立了健全和透明的流程，以持续改进 BAU，例如添加新的交易对或新的抵押品。
– 已确定专家委员，如风险评估员、技术评估员等，以继续确保网络和协议的安全性。
– Acala EVM 已充分开发，具有生产级功能和安全性。
因此，按照目前的治理流程，Acala 委员会似乎仍然保留着超大的网络控制权。 虽然这对于协议的去中心化性质可能不是很好，但它可能有助于 Acala 进行决议管理并“解决 aUSD 的错误铸币并恢复 aUSD 挂钩”。
决议和解决方案
为了降低进一步的风险，Acala 表示“平行链原生代币已被禁用”，因此请阻止错误的 aUSD 离开其原生平行链并将传染蔓延到更广泛的 Polkadot 生态系统。
在撰写本文时，aUSD 在跌至 0.88 美元的低点后价值为每个代币 0.09 美元。 挂钩似乎在 0.90 美元到 0.80 美元之间，仍然比预期的挂钩低 10% - 20%。
Acala 周一早上发布了最新情况，确认铸造的 aUSD 价值为 1.288 亿美元。 这条推文包括一个 论坛发帖 详细说明“跟踪结果”。
事件跟踪报告 #1：这是第一批发布的跟踪结果。 1B 错误铸造的 aUSD 已被识别，并且在未决的 Acala 社区治理决定解决错误之前，他们的转账被禁用。
下面的线程：https://t.co/KazsYLxzqK
— 阿卡拉 (@AcalaNetwork) 2022 年 8 月 15 日
Acala 团队证实，该信息现在可用于“验证链上数据，并制定解决 aUSD 错误铸币厂的建议”。
事件的具体原因在论坛帖子中有时间戳。
“2022-08-13 22:41 UTC – iBTC/aUSD 池的配置错误，铸币局启动错误。”
“错误配置”导致 aUST 被错误地铸造，资金被发送给池中的几个 LP 提供商。 正如 Acala 证实的那样，这些资金目前已被有效冻结：
“保留在 Acala 平行链上的交换数字资产已被禁用，等待 Acala 社区就解决错误铸造做出集体治理决定。”
自更新发布以来，“Referenda” 提案 已提交。 这 提案 截至发稿时没有“反对”票——旨在通过将错误的 aUSD 返回到 Honzon 协议来“有效地烧毁”错误的 aUSD。
该提案包括将资金转移到伪销毁地址所需的代码，并列出了 Acala 调查结果中存在的所有地址。
