EFI:一文揭秘2021年區塊鏈黑客攻擊頻發的原因_deFIRE

區塊鏈以無審查著稱，是一片鼓勵創新的熱土，也是滋生犯罪的溫床。當年眾籌超過1.5億美金的TheDao被黑客盜幣后，進行了硬分叉操作，由此產生了如今的以太坊。自區塊鏈創世以后，各種針對交易所、錢包以及dapp的黑客盜幣事件頻發。那么，2021年區塊鏈安全領域又經歷了何種波瀾，后續的處理工作又是如何的呢？

2021年區塊鏈黑客盜幣事件整理

Uranium?Finance——邏輯漏洞

10月27日，CreamFinance預言機受到操縱。攻擊者從MakerDAO借用DAI來創建大量yUSD代幣，同時通過操縱多資產流動性池來操縱預言機對yUSD的報價。在提高了yUSD的價格后，攻擊者的yUSD價格被人為提高，從而創造了足夠的借款限額以借走CreamFinance在以太坊v1借貸市場的絕大部分資金。而Cream.Finance于8月30日也曾遭到閃電貸攻擊。

Sui生態錢包Ethos完成420萬美元融資，Mysten Labs參投:1月26日消息，Sui 生態錢包 Ethos 完成 420 萬美元種子輪融資，本輪融資由 Gumi Cryptos Capital 和 Boldstart Ventures 領投，Tribe Capital、Matrix Port 和 AllianceDAO 以及 Sui 網絡開發方 Mysten Labs 參投。[2023/1/27 11:31:27]

Anyswap——后臺簽名

丹麥監管機構啟動歐盟DLT綠色債券試點流程:金色財經報道，丹麥金融監管局(Danish FSA)是首批啟動歐盟DLT試點制度的歐盟監管機構之一。由Deon Digital Denmark領導的一組組織將致力于在丹麥FSA沙箱FT Lab內發行代幣化綠色債券。6月初，歐盟最終確定了DLT試點制度的規定，該制度將于2023年3月23日生效。它涵蓋了股票、債券、貨幣市場證券和基金等金融工具的加密資產。該法規允許暫時放棄一些證券法規，并針對基于區塊鏈的交易所或多邊交易設施（MTF）以及執行這兩種功能的結算系統和平臺。沙盒將試用一個組合的DLT交易和結算平臺。它還將使用Deon Digital現有的綠色債券發行解決方案。（ledgerinsights）[2022/9/23 7:17:15]

2）錢包——釣魚信息

?北京市經濟和信息化局印發《北京市數字經濟全產業鏈開放發展行動方案》:5月31日消息，?北京市經濟和信息化局印發《北京市數字經濟全產業鏈開放發展行動方案》，方案明確提出提高數字技術供給能力，構建數字技術創新生態等舉措，包括集中突破高端芯片、人工智能、關鍵軟件、區塊鏈、隱私計算、城市空間操作系統等領域關鍵核心技術，超前布局6G、未來網絡、類腦智能、量子計算等未來科技前沿領域，支持區塊鏈先進算力平臺和人工智能公共算力平臺拓展應用，吸引國內外開源項目與機構在京落地，形成以公共平臺、底層技術、龍頭企業等為核心的多樣化數字技術創新生態等。[2022/5/31 3:53:14]

不同于項目方一旦出事，人們可以通過鏈上公開的交易記錄進行分析；交易所出事只有內部人員知道發生了什么，那些信息也不會被公開。一般交易所出事來自于這幾個方面：交易所的服務器被黑了，攻擊者訪問到了服務器里面存在熱錢包的私鑰。交易所的工作人員被釣魚攻擊，然后攻擊者通過工作人員的賬號訪問到內部系統，接觸到了熱錢包的私鑰等等。

資產被盜后的處理方式

項目方一般會采取這幾個解決方式：

1）即時暫停智能合約中的通證轉移和交易服務；對于不能暫停的合約，查看合約里可以使用的特權函數并屏蔽掉一部分合約的服務，避免合約被再次攻擊。

2）同時向社區發出警告，避免新的投資者把財產放到有漏洞的合約里面。

3）聯系第三方安全公司，請求幫助分析漏洞產生的原因，并合作共同修復漏洞。

4）對于被盜資金的去向，假如合約里面存在黑名單功能；第一時間屏蔽黑客地址，防止黑客進行資金轉移。

5）和安全公司和執法部門合作追回被盜的財產，同時想出合理的補償方案來減少用戶的損失。

那么，為何安全公司對于漏洞已經層層篩查，還會被黑客有機可趁？事實是，對于某個項目的審計工作只能持續數個星期，而黑客的時間和精力是無限的。他們一旦瞄準某類項目，便會有比審計公司多得多的時間進行研究并展開行動。

其次，安全的開源代碼庫也會提高安全系數。OpenZeppelin代碼庫是由專業人員寫的一個開源的代碼庫，它的代碼質量會相對比較高、比較安全。項目方只需要在代碼庫的基礎上添加想實現的一些功能，便能實現從零開始寫代碼。

從人為因素出發，項目方需要考慮金融模型以及商業邏輯是否值得推敲，并進行不計其數的測試才能消弭潛在的風險。

總而言之，Defi協議乃至整個區塊鏈安全問題是主流資金無法進入行業的主要因素。環顧Defi出事的所有原因，最主要的還是Defi項目還無法完全去中心化，需要借助第三方的外部服務。Defi行業在安全性上達到無懈可擊，是這一賽道項目必需實現的目標，期待行業下一周期跑出擁有全新業務邏輯的Defi產品來！

Tags：區塊鏈DEFIEFIDEF玩區塊鏈的都是什么人DeFiDropPEFIdeFIRE

DAI