DEFI:DeFi協議是如何被黑客攻擊的？_ETH

對幾十次黑客攻擊的分析確定了去中心化金融領域的主要載體和典型漏洞。

去中心化金融領域正在以驚人的速度增長。三年前，DeFi鎖定的總價值僅為8億美元。到2021年2月，這一數字已增至400億美元；2021年4月，它達到了800億美元的里程碑；現在，它的價值已經超過1400億美元。一個新市場的如此快速增長，肯定會吸引各種黑客和欺詐者的注意。

根據加密貨幣研究公司的一份報告，自2019年以來，DeFi領域因黑客和其他漏洞攻擊而損失了約2.849億美元。從黑客的角度來看，對區塊鏈生態系統的黑客攻擊是一種理想的致富手段。因為這種系統是匿名的，他們有錢可賺，而且任何黑客都可以在受害者不知情的情況下進行測試和調整。在2021年的前四個月，損失達到了2.4億美元。而這些只是公開知道的案例。我們估計真正的損失達到了數十億美元。

DeFi跨鏈永續合約平臺YFX公布代幣發行計劃:據官方最新消息，5月6日-5月9日，去中心化永續合約交易平臺YFX.COM將開展代幣發行，YFX代幣發行整體分為三個部分：IDO—LBP—DEX，采用多平臺、多鏈、多形式的發布方式。

YFX此前已獲得NGC、SNZ、DFG等機構的戰略投資。YFX.COM自2021年1月份以來，目前已經完成ETH（layer2）、BSC、Heco、Tron主網以及OKExChain測試網的上線，能提供高達100倍永續合約交易BTC、ETH等資產,多次通過CertiK 智能合約安全審計,實現了衍生品交易的去中心化部署。[2021/4/28 21:07:50]

DeFi協議的錢是如何被盜的？我們分析了幾十起黑客攻擊事件，確定了導致黑客攻擊的最常見問題。

RazorNetwork與跨鏈DeFi解決方案Vortex展開合作:4月14日消息，去中心化預言機協議RazorNetwork（RAZOR）宣布與跨鏈DeFi解決方案Vortex進行合作，通過提供可靠和無法篡改的價格信息，Vortex能夠保證其V-SWAP平臺上點對點加密貨幣交易的準確價格。[2021/4/14 20:20:17]

任何攻擊都主要從分析受害者開始。區塊鏈技術為自動調整和模擬黑客攻擊的場景提供了許多機會。為了使攻擊快速而隱蔽，攻擊者必須具備必要的編程技能和智能合約工作原理的知識。黑客的典型工具包允許他們從網絡的主要版本中下載自己的區塊鏈的完整副本，然后對攻擊過程進行全面調整，就好像交易發生在真實的網絡中一樣。

分析：DeFi有望推動ETH大幅反彈；XRP仍顯示看跌信號:交易員JackSparrow表示，他認為BTC可能會經歷另一次重大下行。他預測，未來幾個月比特幣將出現回調，可能重新獲得6000美元支撐。

與此同時，分析師們正在考慮DeFi發展推動以太坊牛市的可能性。數字資產管理公司BlockTownCap執行合伙人Joseph Todaro稱，他相信DeFi是巨大的催化劑，可以使ETH價值達到9000美元。TradeBlock研究主管Joseph Todaro贊同Todaro的觀點，他預計隨著更多代幣被鎖定在DeFi平臺，ETH供應量將大幅下降，而來自DeFi平臺的需求飆升，ETH將大幅反彈。

此外，策略師們在討論XRP是否以及何時能從長期沉睡中恢復過來。分析顯示，XRP繼續發出看跌信號。BitBank分析師Yuya Hasegawa表示，2018年，XRP的月度主導地位為51.36%，而BTC為34.57%。到2020年2月，XRP的主導地位急劇下降至27.54%，而BTC的主導地位上升至51.74%。他認為，比特幣將繼續在新冠病的世界中展現其力量，他預計隨著世界適應數字支付的增長，XRP最終會復蘇。（The Daily Hodl）[2020/6/22]

接下來，攻擊者需要研究項目的業務模式和使用的外部服務。業務邏輯的數學模型和第三方服務的錯誤是最常被黑客利用的兩個問題。

媒體：韓國監管機構或禁止DeFi平臺:韓國金融監管機構正在嘗試微調《在線投資關聯金融法》（Online Investment-Linked Finance Act），又稱“P2P法案”，預計將會在2020年第三季度通過。如果一切順利的話，意味著從今年八月開始韓國將無法使用加密貨幣作為貸款和投資產品進行抵押。目前尚不清楚該法案將如何應用到DeFi平臺，但按照當前版本來看，將會禁止DeFi平臺在韓國運營。韓國金融服務委員會（FSC）表示，韓國禁止使用加密資產和衍生品作為抵押品關聯投資產品，因為這會使投資者難以理解風險。新法案是否會影響韓國本地人使用MakerDAO、BlockFi和Dharma等還過DeFi平臺，還有待觀察。（decrypt）[2020/4/1]

智能合約的開發者在交易時需要的相關數據往往超過他們在任何特定時刻可能擁有的數據。因此，他們被迫使用外部服務——例如，預言機。這些服務并不是為在去信任的環境中運作而設計的，所以它們的使用意味著額外的風險。根據一個統計數據（自2020年夏天以來），既定類型的風險占損失的比例最小——只有10次黑客攻擊，造成的損失總額約為5000萬美元。

智能合約在IT領域是一個相對較新的概念。盡管它們很簡單，但智能合約的編程語言需要一個完全不同的開發范式。開發人員往往根本不具備必要的編碼技能，并犯下嚴重錯誤，導致用戶的巨大損失。 

安全審計只能消除這類風險的一部分，因為市場上的大多數審計公司對他們的工作質量不承擔任何責任，只對財務方面感興趣。由于編碼錯誤，超過100個項目而被黑客攻擊，造成的總損失約為5億美元。一個鮮明的例子是發生在2020年4月19日的dForce黑客事件。黑客利用ERC-777代幣標準中的一個漏洞，結合重入攻擊，偷走了2500萬美元。

提供給智能合約的信息只在執行交易時相關。在默認情況下，合約不能幸免于對其中包含的信息進行潛在的外部操縱。這使得一系列的攻擊成為可能。

閃電貸是一種沒有抵押物的貸款，但需要在同一筆交易中歸還所借的加密貨幣。如果借款人未能歸還資金，交易將被取消。這種貸款允許借款人收到大量的加密貨幣并將其用于自己的目的。通常情況下，閃電貸攻擊涉及價格操縱。攻擊者可以先在交易中賣出大量借來的代幣，從而降低其價格，然后在買回代幣之前，以非常低的價值執行一系列行動。

礦工攻擊類似于基于工作量證明共識算法的區塊鏈上的閃電貸攻擊。這種類型的攻擊更加復雜和昂貴，但它可以繞過閃電貸的一些保護層。它的工作原理是這樣的。攻擊者租用挖礦能力，形成一個只包含他們需要的交易的區塊。在給定的區塊內，他們可以首先借用代幣，操縱價格，然后歸還借用的代幣。由于攻擊者獨立形成了進入區塊的交易，以及它們的順序，攻擊實際上是原子性的（不能將其他交易“嵌入”到攻擊中），就像閃電貸的情況。這種類型的攻擊已經被用來攻擊100多個項目，損失總額約為10億美元。

隨著時間的推移，黑客的平均數量一直在增加。在2020年初，一次盜竊金額就高達數十萬美元。到今年年底，這個數字已經上升到數千萬美元。

最危險的風險類型涉及人為錯誤因素。人們為了尋求快速賺錢而求助于DeFi。許多開發人員資質很差，但仍試圖在匆忙中推出項目。智能合約是開源的，因此很容易被黑客復制和改動。如果原始項目包含前三種類型的漏洞，那么它們就會蔓延到數百個克隆項目中。RFI SafeMoon是一個很好的例子，因為它包含一個關鍵的漏洞，被復制到一百個項目上，導致潛在損失超過20億美元。

文：GUEST AUTHORS

Tags：DEFDEFIEFIETHPyrrho DeFiDeFi OmegaDefyDefieth排名

LTC