Partnered With:

律動AMA|史上最大DeFi盜竊案的反思，我們如何安全參與DeFi

閱讀本文需 22 分鐘

隨着DeFi世界的持續繁榮，合約協議和機制設計必然越來越複雜，無可避免會出現更多的安全漏洞。

2021 年 8 月 11 日 19:30，歐科雲鏈研究院高級研究員 Eddie Wang 以及 Smrti Lab Partner 的 Bowen 做客律動 AMA，與律動 BlockBeats 執行主編張書豪就《史上最大 DeFi盜竊案的反思，我們如何安全參與 DeFi》爲題進行了一場線上交流。

8 月 10 日，PolyNetwork 官方表示 BSC、以太坊、Polygon 鏈上資產均被攻擊，經過統計，約有 6.1 億美元的加密資產被盜。一石激起千層浪，Poly Network 的用戶中不乏加密巨鯨，如此巨大的被盜金額成爲 DeFi 史上的最大一起項目資金被盜案。

儘管隨後黑客表示願意歸還資產，但該事件給整個 DeFi 從業者和參與者們留下「陰影」。而關於這次黑客攻擊事件，歐科雲鏈研究院高級研究員 Eddie Wang 以及 Smrti Lab Partner 的 Bowen 也對事件的真相進行了一定程度還原，並發表了自己的看法。

那麼作爲普通用戶的我們應該如何安全參與 DeFi？或許可以從本期對話中找到一些答案。

以下爲本次 AMA 內容，律動 BlockBeats 整理如下：

律動 BlockBeats：就在大家瘋狂衝 NFT 頭像的時候，許久沒有熱點的 DeFi 發生了一起歷史級別攻擊，6.1 億美金被盜，Poly Network 正在和黑客交涉，不知道最終什麼結果。咱們這場的主題就是《史上最大 DeFi 盜竊的反思》，最主要的是希望大家能夠篩選 DeFi 項目，避免遭遇到此類安全問題。首先，請兩位嘉賓做個簡單的自我介紹。

Eddie Wang：大家好，我是歐科雲鏈研究院的 Eddie，專注於提供區塊鏈大數據驅動的專業見解和分析報告。歐科雲鏈集團是全球領先的區塊鏈產業集團，旗下現有 OKLink 區塊鏈瀏覽器、鏈上天眼等多個業界知名實體。涵蓋區塊鏈大數據、區塊鏈技術研發與應用、區塊鏈產業投資、區塊鏈孵化器等業務。

律動 BlockBeats：距離攻擊事件已經發生了超過 24 小時，狂妄的黑客用 34 分鐘的時間攻擊了跨鏈協議 Poly Network，而基於該協議的 O3 Swap 用戶損失慘重，約 6.1 億美金的資產被盜走。

目前還沒有明確確認攻擊方式，從社羣中討論梳理，這次似乎是兩個原因。一個是「超級後門」的 bug，一個是沒有「時間鎖」的疏忽。有意思的是，「超級後門」的問題早在 5 月就曾有人提出過，而「時間鎖」問題也有多個 DeFi 項目因此被攻擊，爲什麼依然有 DeFi 項目會因此被攻擊呢？兩位嘉賓怎麼看？

Bowen：這個超級後門的 bug 是一個謠傳，我先幫大家澄清一下。慢霧的報告是相對公證的解釋，攻擊主要原因來源於合約 Keeper 可以被白帽/黑客用 EthCrossChainManager contract 的 verifyHeaderAndExecuteTx function 傳入一個編寫好的數據去改變 Keeper 的地址。

「The Root Cause Of Poly Network Being Hacked」。時間鎖的問題確實是一個跨鏈橋要在效率和安全性做權衡的點。

本次的攻擊其實是 Polynetwork 的跨鏈橋被攻擊，導致 O3 的投資人受損。

Eddie Wang：正如 Bowen所說，由於 EthCrossChainManager 合約中的驗證和執行交易功能可以完成某些特定的跨鏈交易，同時 EthCrossChainManager 可以通過調用 EthCrossChainData 合約來修改合約 Keeper 地址，黑客通過替換 Keeper 地址構建交易，從而將資產提到以太坊等三個網絡，並非所謂的超級後門 BUG。

需要注意的是，即使智能合約本身完備，但在疊加組合後依舊可能產生意料之外的問題，這也是 DeFi 協議需要特別注意的地方。

律動 BlockBeats：從歐科雲鏈瀏覽器來看，攻擊是從 17：55 開始，18：29 結束，共 34 分鐘，但是社區基本上是從 7 點半纔開始發現並討論的，團隊反應的時間似乎更晚，中間有一個多小時的空白期，爲什麼這次的反應這麼慢？

Bowen：這次的攻擊是相對複雜的，Poly 作爲跨鏈橋，O3 作爲跨鏈穩定幣交易，讓大家一時間沒有反應過來。

Eddie Wang：其實團隊可能也需要時間弄清楚究竟發生了什麼，確定事件性質和細節並統一口徑後再對外發聲，包括確定是否發生攻擊、涉事金額以及對接外部平臺和安全團隊等等流程。同時由於本次攻擊發生在跨鏈橋上，黑客直接將資金提取到以太坊、BSC、Polygon 三個網絡上，即使團隊在第一時間發現，可能也需要逐一對接機構和社區，才能促成後面我們看到的多方協同處理的場面。

律動 BlockBeats：其實團隊還是很關注一直在與安全公司溝通，這場攻擊最被別人關注的其實是被盜金額 6.1 億美金，裏面不乏有超級巨鯨。其實巨鯨們對所有項目是有監控預警的，爲什麼這次連巨鯨都也會發生資產損失呢？

Bowen：監控的口徑可能是需要更細緻的定義，可以監控的東西太多，比如說 O3 的 LP token 大額轉賬，但是沒有想到需要檢測跨鏈橋的資產實時監控，這個也給未來的二層網絡敲響了警鐘，了。如何全局監控，跨鏈橋資金的剛性兌付和報警系統。現在的監控設施像馬其頓防線，只能檢測翻過的錯誤，但是第一次出現的問題，很難監控。

Eddie Wang：對的~目前的監控可能主要還是着眼於鏈上行爲發生後的消息推送，本身更偏向於轉賬行爲發生後的提示，更多服務於交易和市場消息。比如穩定幣的增發、大額交易&LP 的進出。其次鏈上數據本身過於繁雜，監控的範圍也尚無明確定義。即使是巨鯨也難以監測到所有的鏈上動作，普通用戶就更難第一時間獲取的相關信息。

當然，此處推薦大家關注 OKLink。我們提供包括比特幣、以太坊等主流公鏈的鏈上數據分析和發掘。https://www.oklink.com/chainhub

律動 BlockBeats：其實事件發生後，一個熱點再次被討論起來，就是 Code is LAW，去中心化的 DeFi 出現損失是否應該尋求中心化世界的幫助，兩位嘉賓怎麼看這個事呢？

Bowen：Code is code. Law is law。一方有難八方支援，爲了未來更好的監管環境，任何參與方的幫助都是需要的，括像 USDT 的鎖幣。

律動 BlockBeats：其實關於鎖幣我有個疑問，比如 USDT 鎖幣了，但 USDC 那邊沒有，那我們應不應該去譴責 USDC 呢？

Bowen：USDT 相對運營更激進，USDC 因爲母公司 Circle 需要上市合規，所以需要保持中立。

律動 BlockBeats：那 EddieW，關於 Code is law 這個事，您怎麼看？

Eddie Wang：首先，雖然 DeFi 和數字資產存在於去中心化世界，但 DeFi 參與者都有各自的國家和公民屬性。目前在全球範圍內，對於數字資產的監管、立法和司法都還出於探索階段，但整體來看，各國逐漸對主流虛擬貨幣的價值予以肯定。

我國《民法典》在第一百二十七條裏，爲「網絡虛擬財產的保護」留有一定空間，同時在很多判例中，數字資產還是作爲虛擬財產受到保護的。所以在我們看來，大家如果在 DeFi 世界遭遇安全事件，仍然有必要整理收集證據，以備日後使用。

律動 BlockBeats：其實我們也和部分此次攻擊受害者聊過，問道他們爲什麼參與 O3 Swap，他們的選擇原因是團隊背景、機構背景都不錯，但沒想到依然出現問題。回到我們主題，兩位嘉賓認爲，作爲普通投資者，我們應該如何篩選參與 DeFi 項目呢？

Bowen：我們這次還是學到了很多昂貴的教訓：

1. 時間鎖的必要性

2. 跨鏈橋的早期不確定性

3. 代碼需要早開源，早公示，多經受社區和開發者審閱

同時用戶不應該把所有的雞蛋都放在一個籃子裏，之前有一位 DeFi 老農民在 20 年 10 月份，一個項目上損失了 100 萬美金，但是因爲他的資產分散，且參與的早，所以只是部分資金的回撤。當然也有一個笑話就是說，Curve 是一個經受長久考驗的項目，黑客/白帽都願意相信。

律動 BlockBeats：歐科雲鏈作爲區塊鏈安全頭部機構，我們在 DeFi 安全事件中可以給予用戶哪些建議和安全支持？

Eddie Wang：我還是先回答第一問題。

相信羣裏很多家人都是 DeFi 項目的老手了，已經可以藉助項目 TVL、大戶持倉等指標來判斷 DeFi 協議的潛在價值。目前‘‘ 歐科雲鏈鏈上大師 ’’提供了豐富的 DeFi 市場數據指標，並且推出了 DeFi 排行榜，涵蓋了市場內的主流 DeFi 項目。希望藉助數據指標，大家可以更理智和量化的評估 DeFi 協議。

當然，衝二池需謹慎~關於安全支持方面，歐科雲鏈已經推出了一款區塊鏈安全產品，叫【鏈上天眼】，具有地址分析、交易圖譜、鏈上監控等功能，而且面向全網免費開放，大家可以來體驗一下。

藉助鏈上天眼，我們可以監測到一些黑客地址、涉案資產的流向，可以幫助用戶避免相關風險。

如果大家遭遇了安全事件，也可以聯繫我們的鏈上天眼團隊，我們會提供相應幫助，加大追回被盜資產的可能性。

律動 BlockBeats：這次上億美金級別的攻擊，在體量上已超越此前案例的數倍，再加上黑客狂妄至極，似乎智能合約內的資產他想拿就拿、想還就還，這似乎已經不是對單一項目產生影響了，似乎已經上升到了對行業的影響。

兩位嘉賓認爲這場攻擊會不會成爲 DeFi 的轉折點，讓本已打算入局的傳統金融產生疑慮？

Bowen：傳統金融會一直產生遲疑。需要能經歷長時間考驗的項目。傳統金融因爲合規和監管會很難短時間進入 DeFi, Coinbase 和 Compound 的機構版本算是給傳統金融和 Crypto 高收益做了一個橋樑。

比如說傳統金融需要獵後和保險，現在 DeFi 還暫時無法提供這樣的合規需求。

Eddie Wang：Poly 安全事件由於涉及資金巨大，確實在行業內引起了比較大的輿論影響，但我們認爲不會對 DeFi 市場的整體發展帶來影響。

從去年 DeFi Summer 至今，DeFi 市場的新項目層出不窮，倒下的也有不少。黑客攻擊、盜幣這類安全事件，或許是 DeFi 發展過程中不可避免的過程。同時去中心化的世界應該具有足夠的抗逆性，持續的黑客攻擊，本身也是對 DeFi 協議的「壓力測試」，所以我們相信這次事件並不會撼動 DeFi 的基本盤。

另一方面，今年以來機構入場已然成爲趨勢，有的已經開始持有頭部 DeFi 協議的資產，其中包括灰度這樣的行業頭號玩家；同時 Aave、Uni 這些 DeFi 頭部協議已經開始與傳統機構接觸，DeFi 的基本盤不會因爲本次事件而動搖。

律動 BlockBeats：看來對 DeFi 行業影響不會特別特別大，其他 DeFi 項目應該有什麼樣的反思？

Bowen：我引用民道老師的一段話，第一代被盜之後追回的非常正直的 DeFi 團隊。

可組合性是 DeFi 的魅力，也因此成了 DeFi 的阿喀琉斯之踵，現在所有的 DeFi 協議都有某種層度的穿透風險，你可能會因爲完全跟你無關的原因掛掉。

嚴肅的 DeFi 創業者，都需要有心理準備，有可能被 hack 是每個項目必經的階段，不是會不會，而是什麼時候。

圍觀的羣衆也多點理解，項目方再努力，審計師再盡責，也無法窮盡所有的攻擊面。有一個簡單的比喻，項目方要去證明海水是鹹的，你得把海水都喝完；而對於黑客來說，他只要喝到一口海水不是鹹的，就把你證僞了，這個是一開始就是不對稱的遊戲。

搭建積木雖然看起來依靠別人可以很短時間搭很高，但是還要小心下面的地基的平穩是否經得起考驗。

律動 BlockBeats：Eddie 有何看法？

Eddie Wang：據統計，今年上半年 DeFi 領域的安全事件超過 50 起，平均每週都有 2 起安全事件。行業可能確實需要思考是否走的過快。

我們認爲，首先社區和團隊需要分配更多精力在前期的合約開發搭建上，搭建好「地基」，特別是前面提到關於智能合約組合引起的潛在風險。

其次，隨着 DeFi 世界的持續繁榮，合約協議和機制設計必然越來越複雜，無可避免會出現更多的安全漏洞。行業需要思考通過什麼方式來挽救已發送的問題，包括不限於 Bowen提到的保險協議、以及更深入的合約審計等等。

如果有小夥伴不幸遭遇安全事件，也可以聯繫我們，我們有處理區塊鏈安全案件的專業研判團隊，可以提供幫助，加大被盜資產追回的可能。