Mahigit 1.2 Billion aUSD ang Na-Minted sa isang Exploit ng DeFi Hub Acala ng Polkadot

Ang decentralized finance (DeFi) hub ng Polkadot na Acala ay dumanas ng malaking pag-atake sa bagong inilunsad nitong liquidity pool noong Linggo. Ang pagsasamantala ay nagbigay-daan sa hacker na mag-mint ng higit sa 1.2 bilyong aUSD, ang stablecoin ng proyekto. 

Di-nagtagal pagkatapos ng pag-hack, ang koponan ng Acala ay nag-update ng mga gumagamit sa Twitter, na binanggit na ang pagsasamantala ay nagmula sa isang "maling configuration ng iBTC/aUSD liquidity pool." Ang maling pagsasaayos ay naayos na ngayon, ayon sa proyekto. 

Natukoy namin ang isyu bilang isang maling configuration ng iBTC/aUSD liquidity pool (na naging live mas maaga ngayon) na nagresulta sa mga error mints ng malaking halaga ng aUSD
1/

— Acala (@AcalaNetwork) Agosto 14, 2022

Sinuspinde ng Acala ang On-chain na Aktibidad

Onchain na data reveals na karamihan sa mga minted stablecoins ay nasa Acala account pa. Pinalitan ng attacker ang isang maliit na bahagi ng mga stablecoin para sa katutubong token ng Acala na ACA at apat na iba pang mga token. Sa oras ng pagsulat, ang account ay may hawak na humigit-kumulang $1.27 bilyon na halaga ng aUSD, na kumakatawan sa higit sa 99% ng mga minted na token. 

Habang ang komunidad ng Acala ay hindi pa nakakagawa ng pinal na desisyon sa pagsasamantala, nabanggit ng koponan na sinuspinde nito ang mga account na kasangkot sa paglilipat ng mga token. 

Ayon sa proyekto, ang mga on-chain na aktibidad tulad ng swap at cross-chain messaging ay itinigil din para sa ibang mga user hanggang sa susunod na abiso. Nabanggit ng protocol na ang oracle pallet nito ay nasuspinde din, kaya ang mga gumagamit ay hindi kailangang mag-alala tungkol sa sapilitang pagpuksa. 

Samantala, ang aUSD, ang unang stablecoin sa Polkadot, negatibong tumugon sa insidente at nawala ang pagkakapareho nito sa USD. Pagkatapos bumaba ng halos 50% sa isang presyo ng kalakalan na $0.57, ang stablecoin ay na-trade sa $0.89 sa oras ng press.

Maaaring Hindi Katapusan ang Pag-atake ni Acala

Bagama't itinuwid ng Acala ang maling pagsasaayos sa pool nito, ang insidente ay nagdaragdag sa bilang ng mga desentralisadong aplikasyon (dApps) na naging biktima ng mga hacker na palaging naghahanap ng mga smart contract bug upang pagsamantalahan. 

Nagkomento si Victor Young, ang nagtatag ng Analog, isang layer-0, proof-of-time (PoT)-based na proyekto, sa pag-hack ng Acala, na binanggit na ang Polkadot ay "secure sa pamamagitan ng disenyo" dahil sa relay chain nito, ngunit hindi ito magagawa. sasabihin tungkol sa mga parachain 

Sinabi niya na ang mga naturang pagsasamantala sa dApp ay maaaring mangyari sa hinaharap kung hindi regular na sinusuri ng mga developer ng smart contract ang kanilang mga code. 

“Sa aking pananaw, patuloy tayong makakakita ng higit pa sa mga pag-atakeng ito dahil maraming mga developer ng dApp ang hindi naglalagay sa trabaho kapag tinutukoy ang mga katangian ng seguridad ng kanilang code. Kahit na na-audit ang matalinong kontrata, maaaring hindi palya ang code. Kaugnay nito, ang mga developer at mga eksperto sa QA ay kailangang patuloy na magsuri upang matiyak na naabot ng code ang mga layunin nito," aniya.