34分鐘搶走6.1億美金，DeFi領域最大盜竊案
8月10日晚間，異構鏈跨鏈互操作協(xié)議Poly Network宣布遭黑客入侵，30多分鐘內價值超6.1億美元的資產被洗劫一空，包括3.02億枚USDT、5.5萬枚ETH、2000枚比特幣等若干類代幣。
| 史上最大黑客事件
6.1億美元是什么概念？如果按照事件發(fā)生時相關資產的市場價格計算，這不僅僅是DeFi歷史上涉案金額最大的黑客事件，更是整個加密貨幣歷史上涉案金額最大的黑客事件，超過了鼎鼎大名的 Mt.Gox 事件（744408枚BTC，當時總價值約4億美元），以及2018年的 Coincheck 大案（5.23億枚 XEM，當時總價值約5.34億美元）。
如果僅在DeFi市場內部比較，據不完全統(tǒng)計，2020年全年DeFi攻擊事件共發(fā)生60余起，損失總和約為2.5億美金，Poly Network一場攻擊就超過了2020年整年2倍有余。
這個量級的被盜規(guī)模，位列DeFi歷史之首。
| 黑客攻擊過程
跨鏈互操作協(xié)議是一種去中心化金融協(xié)議（DeFi)，在幣安智能鏈、以太坊和 Polygon區(qū)塊鏈上運行，可用于流動性挖礦。
Poly Network的官方推特發(fā)布了遭攻擊聲明，并呼吁礦工和加密貨幣交易所將黑客地址的代幣列入黑名單。
與此同時，他們還稱將采取法律手段，敦促黑客盡快歸還被盜資產。
此外，Poly也表示黑客是通過協(xié)議漏洞進行攻擊，并非是知曉了秘鑰。
事發(fā)后，加密貨幣各大平臺方積極響應，試圖阻止黑客進行贓款轉移。
無數的幣圈吃瓜群眾在網上對此表示喜聞樂見，稱希望黑客能分一點賬款，畢竟“劫富濟貧”的故事誰不愛看呢。
然后黑客開始了他的表演。他先是在鏈上轉賬留言里，向全世界詢問如何使用以太坊上的匿名轉賬平臺Tornado.cash進行混幣，接著又用挑釁的語氣，表示“自己沒有全部帶走協(xié)議里的資產已經是手下留情”，隨后又要“發(fā)起一個分布式自治組織來決定這些資產的去向”。
紀錄顯示，Poly在推特上宣布黑客入侵大約一小時后，黑客試圖通過以太坊地址將包括USDT在內的資產轉移到流動資金池Curve Finance中，不過該交易被拒絕。
Tether首席技術官Paolo Ardoino將黑客地址列入黑名單，凍結了該地址中的USDT。
不過黑客仍設法將一些USDC轉移到了Curve Finance的流動資金池中，這也意味著將幾乎無法尋回這些USDC。
幣安CEO趙長鵬也在推特上發(fā)表回應，稱雖然沒有人控制BSC和ETH，但正在與所有安全合作伙伴進行協(xié)調，以盡其所能提供幫助。
| 大型乞討現場
失竊金額如此之大，受害者數量自然也少不了。就目前情況來看，遭受此次事件影響的主要群體是通過跨鏈聚合器 O3 Swap 進行挖礦的用戶，O3 Swap 本身也因此暫停了跨鏈相關服務。
黑客也并不是唱獨角戲，無數看客在轉賬記錄中留言，希望黑客能分一點贓款。其實每次黑客攻擊后，暴露的地址都會有類似信息，更有甚者，一些人試圖通過告訴黑客一些可行的混幣措施，來換取黑客的代幣施舍……這種看似“好玩”的做法實則非常不可取，也是對焦急痛心的失主極大的不尊重。
但畢竟這是 6 億美金的歷史級別攻擊，無數無眠的受害者與冷淡的看客，這也是另一片「黑暗森林」。
我們能看到的是那些在 O3 Swap 中資產損失的投資者，但是，對于一場數億美金級別的攻擊，行業(yè)里所有人都是被害者，這場攻擊讓那些有準備在 DeFi 市場里試水的機構望而卻步，讓那些專業(yè)的 Smart Money 不敢輕易嘗試。這場攻擊打擊的是 O3 Swap 投資者的信心，同時也是傳統(tǒng)投資者對 DeFi 的信心。這不僅是 DeFi 歷史上量級最大的攻擊，也許也是 DeFi 行業(yè)的轉折。
| 追回資金，還有希望嗎？
撇開種種鬧劇，事件既已發(fā)生，各方最為關心的事情莫過于能否成功追回資產。
結合此前 DeFi 世界內曾發(fā)生過的多起安全事件來看，追贓并非毫無可能，比如去年的 dForce 及 EMD 事件，最終都成功追回了失竊資金。整體來看，此類事件基本上都有一個共同點——通過追蹤，黑客在現實世界的身份暴露，面臨著來自項目方及受損用戶的起訴和追責，最終選擇主動歸還資金。
過往案例告訴我們，盡管 DeFi 在交互層面上已實現了去中心化，但一個個受法律保護及約束的人類才是參與 DeFi 的主體，因此 DeFi 也絕不是什么無法之地，在鏈上資產意外遭遇損失時，尋求鏈下的法律保護是最有效的解決措施。
目前較好的一個消息是，慢霧安全團隊表示，在合作伙伴虎符（Hoo）及多家交易所的技術支持下，已通過鏈上及鏈下追蹤已關聯發(fā)現攻擊者的郵箱、IP 及設備指紋等信息，正在追蹤 Poly Network 攻擊者相關的可能身份線索。慢霧安全團隊梳理發(fā)現，黑客初始的資金來源是門羅幣（XMR），然后在交易所里換成了 BNB/ETH/MATIC 等幣種并分別提幣到3個地址，不久后在3條鏈上發(fā)動攻擊。
或許是感覺到了壓力，黑客也在8月11日00:05通過一筆交易公開表示有意歸還部分資金。與此同時，黑客還提出了一個新的可能，即利用這筆資金發(fā)行一個全新代幣，并通過DAO的形式進行運作。
不過，慢霧提到的關鍵合作伙伴虎符（Hoo）隨后在社群內進一步回應稱，黑客只是在虎符注冊了一個沒有KYC的賬號，并轉出了少量ETH作為gas費用，并沒有資金流入虎符。最為關鍵的是 ，黑客在虎符內的賬戶并沒有實名認證，所以能否通過其他信息（慢霧提到的郵箱、IP 等等）成功定位黑客身份暫時仍無法確定。
稍早前，Poly Network官方再次通過公開信的形式向黑客喊話，強調數億美元的資金在任何司法轄區(qū)都會是特大案件，希望借此向黑客施壓，獲得與對方溝通的機會。
目前最新進展：截至今天11:48，黑客以太坊地址通過一筆交易的附加信息表示：正準備歸還資金（READY TO RETURN THE FUND）！
交易哈希為：0x7b6009ea08c868d7c5c336bf1bc30c33b87a0eedd59dac8c26e6a8551b20b68a。
隨著多鏈格局的日漸穩(wěn)固，跨鏈橋作為不同生態(tài)之間流動性往來的渠道，其所承擔的價值正快速膨脹。從前不久的 Chainswap、Anyswap，再到今天的 Poly Network，這一賽道已成為了黑客眼中的“香饃饃”，安全形勢日趨嚴峻，項目方、審計公司、用戶均需提高警惕。
聲明：投資有風險，入市須謹慎。本資訊不作為投資理財建議。
