GEM:一文揭秘2021年區塊鏈黑客攻擊頻發的原因_MIN

區塊鏈以無審查著稱，是一片鼓勵創新的熱土，也是滋生犯罪的溫床。當年眾籌超過1.5億美金的The Dao被黑客盜幣后，進行了硬分叉操作，由此產生了如今的以太坊。自區塊鏈創世以后，各種針對交易所、錢包以及dapp的黑客盜幣事件頻發。那么，2021年區塊鏈安全領域又經歷了何種波瀾，后續的處理工作又是如何的呢？

（本文由分布式資本原創，顧問CertiK高級安全工程師王沛宇，撰文有匪。）

2021年區塊鏈黑客盜幣事件整理

Uranium?Finance——邏輯漏洞

幣安或尋求TrueUSD作為穩定幣替代解決方案:金色財經報道，紐約金融服務部 (NYDFS) 的BUSD鑄造禁令迫使幣安尋找其他穩定幣替代解決方案來滿足市場需求。根據鏈上數據顯示，幣安正在尋求加入TrueUSD，從2月16日到2月24日，幣安鑄造了1.8億枚TUSD。同時也增加了一些其他去中心化穩定幣的支持。自2019年6月以來，與美元掛鉤的穩定幣TUSD運營TrustToken一直是幣安的合作伙伴，這種關系允許幣安以零費用購買TUSD并將其兌換為法定貨幣，分析認為隨著監管機構對BUSD的禁令，幣安會越來越多地鑄造新TUSD來緩解其穩定幣需求。[2023/3/7 12:45:47]

10月27日，Cream Finance預言機受到操縱。攻擊者從MakerDAO借用DAI來創建大量yUSD代幣，同時通過操縱多資產流動性池（包含yDAI、yUSDC、yUSDT和YTUUSD）來操縱預言機對yUSD的報價。在提高了yUSD的價格后，攻擊者的yUSD價格被人為提高，從而創造了足夠的借款限額以借走Cream Finance在以太坊v1借貸市場的絕大部分資金。而Cream.Finance于8月30日也曾遭到閃電貸攻擊。

律師提交動議要求法官裁定FTX無權動用客戶資產:金色財經報道，代表FTX.com非美國客戶的律師提交了一份動議，要求特拉華州一名法官裁定鎖定在FTX平臺的客戶資產屬于客戶，FTX無權動用它們。FTX國際債權人特設委員會目前代表FTX的18個國際客戶，代表FTX平臺上鎖定的總計19.4億美元資產。特設委員會的律師表示，迄今為止FTX在客戶資金問題上一直保持沉默，該公司高管可能希望用這些資金支付運營成本。律師表示：“盡管官方委員會完全由FTX.com客戶組成，沒有美國客戶，也沒有一般無擔保債權人，尋求確定資產屬于客戶而不是整個FTX可能會產生利益沖突”。[2022/12/31 22:18:02]

Anyswap——后臺簽名

美CFTC指控Gemini關于比特幣期貨合約存在誤導性陳述:金色財經報道，美國商品期貨交易委員會 (CFTC) 周四對 Gemini Trust Company LLC 提起訴訟，指控 Gemini 在 2017 年與 Cboe合作推出比特幣期貨合約期間誤導了聯邦監管機構。在長達 28 頁的民事訴訟中，CFTC 聲稱 Gemini 在 2017 年 7 月至 2017 年 12 月期間與委員會工作人員就 Gemini 交易所的運營和交易訂單價格“做出虛假和誤導性陳述”，指控 Gemini 違反了《商品交易法》和各種法規，該訴訟沒有明確說明是否與 Gemini 推出比特幣期貨合約直接相關。（彭博社）[2022/6/3 3:59:48]

2）錢包——釣魚信息

不同于項目方一旦出事，人們可以通過鏈上公開的交易記錄進行分析；交易所出事只有內部人員知道發生了什么，那些信息也不會被公開。一般交易所出事來自于這幾個方面：交易所的服務器被黑了，攻擊者訪問到了服務器里面存在熱錢包的私鑰。交易所的工作人員被釣魚攻擊，然后攻擊者通過工作人員的賬號訪問到內部系統，接觸到了熱錢包的私鑰等等。

資產被盜后的處理方式

項目方一般會采取這幾個解決方式：

1）即時暫停智能合約中的通證轉移和交易服務；對于不能暫停的合約，查看合約里可以使用的特權函數并屏蔽掉一部分合約的服務，避免合約被再次攻擊。

2）同時向社區發出警告，避免新的投資者把財產放到有漏洞的合約里面。

3）聯系第三方安全公司，請求幫助分析漏洞產生的原因，并合作共同修復漏洞。

4）對于被盜資金的去向，假如合約里面存在黑名單功能；第一時間屏蔽黑客地址，防止黑客進行資金轉移。

5）和安全公司和執法部門合作追回被盜的財產，同時想出合理的補償方案來減少用戶的損失。

那么，為何安全公司對于漏洞已經層層篩查，還會被黑客有機可趁？事實是，對于某個項目的審計工作只能持續數個星期，而黑客的時間和精力是無限的。他們一旦瞄準某類項目，便會有比審計公司多得多的時間進行研究并展開行動。

其次，安全的開源代碼庫也會提高安全系數。OpenZeppelin代碼庫是由專業人員寫的一個開源的代碼庫，它的代碼質量會相對比較高、比較安全。項目方只需要在代碼庫的基礎上添加想實現的一些功能，便能實現從零開始寫代碼。

從人為因素出發，項目方需要考慮金融模型以及商業邏輯是否值得推敲，并進行不計其數的測試才能消弭潛在的風險。

總而言之，Defi協議乃至整個區塊鏈安全問題是主流資金無法進入行業的主要因素。環顧Defi出事的所有原因，最主要的還是Defi項目還無法完全去中心化，需要借助第三方的外部服務。Defi行業在安全性上達到無懈可擊，是這一賽道項目必需實現的目標（尤其對中心化嚴重的跨鏈賽道而言），期待行業下一周期跑出擁有全新業務邏輯的Defi產品來！

Tags：USDFTXMINGEMiZUMi Bond USDWIZARD Vault (NFTX)Mini Hollywood DogePrincess Striker Gem

TRX