金色观察 | Poly Network被盗事件再引DeFi安全之争 监管或提上日程?

8月10日,跨链互操作协议Poly Network遭受黑客攻击。Poly Network发推文称,经过初步调查,已找到漏洞的原因。黑客利用了合约调用之间的一个漏洞,攻击不是由传闻中的单个保管人造成的。同时,Poly Network还发布了至攻击者的一封信。Poly Network表示,希望建立沟通,并敦促攻击者归还被黑资产。此次被黑的金额是Defi历史上最大的一笔。任何国家的执法部门都会将此视为重大经济犯罪,攻击者将受到追捕,再进行任何交易是非常不明智的。被盗资金来自数以万计的加密社区成员。希望攻击者与Poly Network团队交谈以制定解决方案。

慢雾团队回顾攻击细节指出,主要系因合约漏洞。本次攻击主要在于 EthCrossChainData 合约的 keeper 可由 EthCrossChainManager 合约进行修改,而 EthCrossChainManager 合约的 verifyHeaderAndExecuteTx 函数又可以通过 _executeCrossChainTx 函数执行用户传入的数据。因此攻击者通过此函数传入精心构造的数据修改了 EthCrossChainData 合约的 keeper 为攻击者指定的地址,并非网传的是由于 keeper 私钥泄漏导致这一事件的发生。

YFI突破52000美元关口 日内涨幅为18.36%:欧易OKEx数据显示,YFI短线上涨,突破52000美元关口,现报52015.0美元,日内涨幅达到18.36%,行情波动较大,请做好风险控制。[2021/4/15 20:24:32]

随后慢雾团队给出细节描述:

1. 本次攻击的核心在于 EthCrossChainManager 合约的 verifyHeaderAndExecuteTx 函数可以通过 _executeCrossChainTx 函数执行具体的跨链交易。

2. 由于 EthCrossChainData 合约的 owner 为 EthCrossChainManager 合约,因此 EthCrossChainManager 合约可以通过调用 EthCrossChainData 合约的 putCurEpochConPubKeyBytes 函数修改合约的 keeper。 

3. 其中 EthCrossChainManager 合约的 verifyHeaderAndExecuteTx 函数是可以通过内部调用 _executeCrossChainTx 函数执行用户指定的跨链交易,所以攻击者只需要通过 verifyHeaderAndExecuteTx 函数传入精心构造的数据来使 _executeCrossChainTx 函数执行调用 EthCrossChainData 合约的 putCurEpochConPubKeyBytes 函数以改变 keeper 角色为攻击者指定的地址。  

现场 | 万向邹传伟:需要在去信任环境中引入信任:金色财经现场报道,10月28日,第六届区块链全球峰会的数字金融主题论坛于上海开幕,论坛上,万向区块链首席经济学家邹传伟演讲表示,DeFi是针对金融功能模块构建的,包含支付清结算、聚集资源、跨时空转移资源、管理风险、提供信息、解决激励等。DeFi是一个离散时间金融,DeFi的频率由公链时间决定,而出块时间是一个随机变量,离散时间决定链活动效率、价格发现等。以出块时间为时间单位,可以把利息理论引入DeFi,这是对DeFi进行定量分析的基础。但因为TPS有限制,DeFi需要拉长付款周期,更需要精确计算利息,

区块链虽是去信任化的,但地址是匿名的,没有身份和信誉,这显示了开放性,但会导致作出承诺需要超额抵押。而因为超额抵押,DeFi借贷的风险定价效率很低,最终需要在去信任环境中引入信任,用信任消减对未来的不确定性,例如地址与链外身份和信誉关联,例如公链内重复博弈等。[2020/10/28]

4. 替换完成 keeper 角色地址后,攻击者即可随意构造交易从合约中取出任意数量的资金了。

值得注意的是,本次此次被黑的金额是DeFi历史上最大的一笔,共计超 6.1 亿美元转出至 3 个地址。受此影响 O3 Swap 跨链池大额资产被转出。目前,安全团队梳理发现,黑客初始的资金来源是门罗币(XMR),然后在交易所里换成了 BNB/ETH/MATIC 等币种并分别提币到 3 个地址,不久后在 3 条链上发动攻击。 结合资金流向及多项指纹信息可以发现,这很可能是一次蓄谋已久的、有组织有准备的攻击行为。 

事件发生后,Tether 已冻结 Poly Network 攻击者地址上的 3300 万 USDT。截止发稿,攻击者也回应,如果我转移了剩余的币,那将是十亿美金级别的攻击。我刚刚是拯救了这个项目吗?我对金钱不太感兴趣,现在考虑归还一些代币,或者将它们留在此处。随后该攻击者还称,如果我制作一个新的代币并让DAO决定代币的去向会怎样?

随着事件的发酵,8月11日,攻击Poly Network的黑客在区块高度 13001631 转账中又表示,已决定归还资产,不再创建 DAO 组织。同时,在描述中,黑客自称为传奇。

尽管黑客已决定归还资产,但有关DeFi安全的讨论还在继续。事实上,随着DeFi的爆发式发展,相关安全事件频发,跨链攻击也不在少数。此前,Rari Capital就在跨链攻击事件中损失1500万美元。有分析声音就此指出,DeFi协议之间的互操作性变得越来越复杂,相关的攻击媒介也在增多,预计相关攻击也会增加。

Roxe支付网络技术VP Jesse对此指出,DeFi本来就是个黑暗森林,很多别有用心的人一直都在暗中虎视眈眈,甚至有些漏洞发现后,攻击者只是在等更合适的机会,并不一定会急于出手,就像病的潜伏期一样,在等更大的利益机会,未知的漏洞一定还有很多,只是还未爆发而已。

有市场声音担心,DeFi安全如果始终无法妥善处理,可能会打击行业的信心。当然,另一方面可能会加快全球对行业监管。Roxe支付网络技术VP Jesse表示,从长期看,监管是必须的,随着区块链行业的不断成熟,各国也一定会加强监管,这也是行业成熟的标记。无监管的混乱除早期带来的所谓自由的快感,随后一定会被少量的各类地下组织利用,从而损害大众的利益。虽然有时候我们不喜欢政府的监管,但这种监管带来的正面意义要远比负面意义大。

在此背景下,作为普通投资者,应该如何保护好自己的财产?

Roxe支付网络技术VP Jesse指出,区块链一个很大的问题就是亲民性不足,未接触过的人很难理解,从而让区块链变成一个小众游戏。安全性上看似自己掌握自己的资产,但它却要求每个用户自己必须成为安全专家,随时面对来自暗处的黑客攻击。问题是,大众并没有足够的能力去甄别和自我保护,很多时候只能依赖安全公司的审计,但这也不是100%安全的。相对传统行业,DeFi还很年轻,很多东西还不完善,无法像政府背书的银行一样提供良好的安全保障。DeFi最大的优势是去信任,但这份信任是基于代码的,而代码的安全大众又无法有效甄别,而黑客攻击来源于知识的巨大不对等性,这也造成的DeFi的安全不是一个是或否的简单问题。对于DeFi投资者,目前只能保护好自己的私钥,不泄露,防止丢失。另外,尽可能的识别好的项目、识别经审计的合约。

比特派也在相关微博中建议,参与DeFi要用多地址,不同DeFi、不同资产用不同地址区分开来,这样即使某个DeFi项目有危险,也不会影响到你的其他资产。同时也要定期检查钱包地址的授权,不频繁操作的项目要及时收回授权。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金智博客

OKBMEV正在破坏以太坊的公平性? 25个抗MEV项目介绍

“想象一下,当ETH成为全球通用货币。你试图在一个拍卖平台上以50美元的价格购买Dua Lipa的复出巡演NFT门票。一个机器人看到了你的交易,并以同样的价格抢先购买了它。但是,不用担心,在同一个区块中,他们已经以你的最高出价100美元将其卖回给你。” 这是以太坊MEV问题最早提出者pmcgoohan在对未来进行构想时提出的一个场景。

波场那些发售NFT头像的团队 都赚了多少钱?

对于加密世界来说,2021 年的夏天是属于 NFT 的。 随着猿猴、猫、企鹅等动物头像 NFT 的爆火,越来越多的 DeFi 用户甚至加密世界之外的人选择进入 NFT 领域,大量新用户的加入让 NFT 的销量一路攀升。

比特币交易库克金融重磅推出“去中心化”金融领域指数基金

一个正确的投资策略是实现财富增长的关键。然而大多数人既缺乏相关技能,也没有时间去研究股票、债券、加密货币或者其他资产。更何况,在特定的风险偏好范围内找到收益率令人满意的资产本来也不是一件容易事。 指数基金通过复杂的资产分析算法,能自动规避风险找到“最佳投资组合”,持续地监控并且维持资产平衡。

[0:15ms0-7:47ms