BXH:BXH盜幣案反思：黑客用最原始的方式「摧毀了」國產機槍池_AurusDeFi

吳說作者|吳卓鋮

本期編輯|ColinWu

10月30日，去中心化收益類協議BXH發生私鑰被盜事件，損失了價值約1.39億美元的加密資產。此次

安全

事故發生在BSC鏈上，據官方聲明顯示，以太坊、OEC和Heco的鏈上資產未受影響，但出于安全考量，所有鏈上的充提功能都被關閉。

事件發生后，根據區塊鏈安全機構慢霧科技的分析，黑客于27日13時(UTC)部署了攻擊合約0x8877，接著BXH的

錢包

地址0x5614于29日8時(UTC)通過grantRole將管理權限賦予了攻擊合約0x8877。30日3時(UTC)攻擊者通過攻擊合約0x8877獲得的權限從BXH金庫中將其管理的資產轉出。30日4時(UTC)錢包地址0x5614暫停了金庫。因此，BXH本次被盜是由于其管理權限被惡意地修改，導致攻擊者利用此權限轉移了項目資產。目前，黑客初始地址里的4000

DeFi平臺BXH笨小孩優先重啟OEC服務:官方消息，DeFi平臺BXH笨小孩在10.30被盜事件后經過多方測試，確認BXH平臺在OEC鏈上的安全隱患已完全排除，同時已完成了私鑰驗證的多簽升級。

BXH平臺正式宣布：在能進一步確保用戶資產安全的前提下，決定將于今晚，即2021年11月8日20：00（UTC＋8）率先重啟OEC鏈服務。[2021/11/8 6:39:00]

ETH

已經從BSC轉移到ETH，還有300BTCB兌換成renBTC轉移到新地址(1Jw...9oU和1Fr...Vow)。區塊鏈安全機構派盾在推特上公布了截止11月1日被盜資金的去向：

!webp\"data-img-size-val=\"900,494\"\u002F\\>

此事一出，輿論嘩然，大家疑惑的是為什么BXH能將資金管理權限交給黑客，黑客不需要攻克復雜的

BXH笨小孩7月30日20:00正式登陸BSC:據BXH官方消息，一站式DeFi應用平臺BXH笨小孩于2021年7月30日 20:00（UTC+8）正式登陸BSC幣安智能鏈，ETH、USDC、BNB、USDT、BUSD、BTCB單幣礦池與上線時間同步開啟。

BXH V2新版本已完成戰略轉型，多鏈部署正式登陸BSC，致力于打造資產互通的全生態交易協議。[2021/7/30 1:25:28]

智能合約

，僅需獲取私鑰就摧毀了整個協議。這種盜幣手段頗為原始，不免讓人質疑是否是存在內鬼。隨后關于創始人的一系列黑歷史也被扒出。目前官方只是表示此次事件系私鑰泄露，并發布100萬美元懸賞金招攬白帽子團隊追回資金。

可是，風波并未就此結束，由于BXH已經關閉了提現功能，依靠它產生收益的機槍池項目也被迫關停了提幣功能。目前已有四個機槍池受到牽連，首當其沖的就是Heco上鎖倉量排名第二的Coinwind。Coinwind團隊表示正在全力跟進BXH被盜資產的追回情況、損失情況和開放充提的時間以及資產提取方案的處理進度。

BXH笨小孩BSC鏈上流動性質押突破1億美金:據官方數據顯示，BXH笨小孩登陸BSC1小時，TVL突破1億美金。7月30日20:00一站式DeFi交易平臺BXH上線幣安智能鏈BSC，支持跨鏈互通，自由操作。[2021/7/30 1:25:22]

!webp\"data-img-size-val=\"488,292\"\u002F\\>

不僅如此，由于Coinwind在Heco上鎖倉量較高，其他小規模的機槍池會直接選擇將資金鎖在Coinwind里并通過杠桿放大收益的“懶人式操作”，因此此次事件中這類項目自然也無法幸免。這現象背后反映的問題值得深思。

目前，機槍池的盈利模式就是不斷地尋找各種高收益的借貸協議，然后頻繁地存錢和借錢來賺取平臺token，最后通過boosting放大杠桿倍數，用這種“搭樂高”方式呈現給

BXH V2新版本正式完成戰略轉轉型:7月19日，據官方消息，BXH V2新版本正式戰略轉型為以聚合收益為主，DEX去中心化交易平臺為輔的一站式DeFi生態平臺 。

包括三大關鍵升級：1.聚合挖礦的機槍池功能，具有一鍵挖礦、費用低廉、高流動性、最優回報四大優勢；2.DEX延續利好maker的模型；3.一站式DeFi生態平臺，用戶可以從BXH單個入口進行所有DeFi操作、追蹤資產組合聚合挖礦收益情況。[2021/7/19 1:02:06]

投資

者夸張的收益率。當然，這種方式在放大了收益的同時也放大的風險，任何一層發生本金損失都可能導致整個樂高坍塌。

因此機槍池的每一步操作，每一筆資金去向應當時時公開，就像公募基金公開持倉股一樣，讓投資人自行做出選擇。以Yearn為例，其機槍池中每一個資金池的投資策略和資金去向都需要

BiKi平臺幣BIKI上線BXH開啟流動性挖礦:據官方公告，BiKi平臺幣BIKI將于3月26日11：00（GMT+8）上線HECO生態去中心化交易平臺Bitcoin deX on Heco（BXH），BIKI作為DeFi資產將在BXH內打通DEX交易、流動性挖礦等場景，用戶可通過BIKI/USDT進行LP挖礦獲得BXH。

Bitcoin deX on Heco（BXH）是部署在Heco上的去中心化交易所，所有的交易都在鏈上進行，支持去中心化數字貨幣交易、流動性挖礦、平臺幣質押分紅等多種玩法。平臺代幣BXH全部由流動性挖礦產生，可在BXH交易場景中使用，同時也是平臺DAO社區治理投票憑證。[2021/3/26 19:19:46]

DAO

組織成員討論并投票，最后公布策略。如果用戶對某個資金池的投資策略不滿意，可以選擇不投。而其他很多機槍池在公開透明這塊做的很糟糕，尤其是國內項目，暗箱操作頗多。此次事件，就有用戶對CoinWind將資產投入到屢受爭議的BXH感到不滿，他們表示如果事先知道就不會將資產存入CoinWind。而CoinWind的回應卻是，他們對BXH做了盡職調研，BXH的審計報告沒有問題，這次BXH被攻擊是由于私鑰被盜，屬于不可抗風險。然而，查看慢霧在3月份給BXH做出的審計報告卻發現：

!webp\"data-img-size-val=\"728,283\"\u002F\\>

目前機槍池只是在各借貸協議之間循環操作放大收益，從傳統

金融

的角度來看這顯然不可能持續性發展的。傳統世界只有銀行或一些大機構(例如房地產商)可以循環借貸放大

貨幣

乘數，普通人受監管限制不能這么做。

DeFi

世界沒有監管，因此散戶可以像機構那樣循環借貸，不少用戶甚至以為這是DeFi特有的產品，事實上并非如此。監管不允許散戶這么操作自然是合理的，畢竟大多普通人的風險控制能力較弱。

這也是當下機槍池類產品最大的風險所在，根據風險高低主要分為三類：

低風險–簡單策略–單一資產抵押金庫

中風險–簡單策略–流動性token與平臺token的自動復合

高風險–高級策略–使用多個協議的多層策略循環借貸

不同類型的策略池風險等級不同，通常單一資產的策略池無常損失風險低于需要流動性token作為存款資產的策略池。這次盜幣事件大眾的關注點都在合約安全風險，其實這是區塊鏈產品共同的問題。但是機槍池的存在放大了這種風險，每次在策略中加入新協議時，都會增加一層黑客風險，其中任何一個環節出現問題都會影響整個機槍池。個人認為這才是最值得引起重視的。

現在已經出現一些基于

期權

組合策略、合成資產套利等對標傳統金融產品的協議，這些產品在傳統領域已經被驗證其盈利模式是可持續的。當然參與這些產品需要更高的技術門檻，這正是機構投資人的價值所在，專業的事交給專業的人去做在任何領域都是合理的。這也是機槍池未來發展的方向，像如今這種循環借貸實在技術含量偏低。如此看來，黑客采用這種頗為原始且似乎沒什么技術含量的盜竊手法，對國內這些“樂高式”機槍池來說也不算辱沒。

吳說：獨立可信的報道者歡迎在這里關注我們

中文推特https:\u002F\u002Ftwitter.com\u002Fwublockchain12

電報

Telegram

中文頻道https:\u002F\u002Ft.me\u002Fwublock

官方網站https:\u002F\u002Fwww.wu-talk.com\u002F

根據央行等部門發布“關于進一步防范和處置虛擬貨幣交易炒作風險的通知”，本文內容僅用于信息分享，不對任何經營與投資行為進行推廣與背書，請讀者嚴格遵守所在地區法律法規，不參與任何非法金融行為。吳說內容未經許可，禁止進行轉載、復制等，違者將追究法律責任。

Tags：BXHEFIDEFIDEFbxh幣行情DeFinitiondeFIREAurusDeFi

火幣交易所