PolyNetwork案: 52小时6亿美金失而复得，黑客主动透露身份信息

吴说区块链real view 23194 2021-8-14 09:57

8月12日晚，PolyNetwork的黑客基本退还了所有款项，这起DeFi历史最大金额的盗币案就此划下了阶段性的句号。黑客也继续它的自叙，提供了更多此次事件的信息，他甚至开始主动大量透露个人身份信息（真假未知）。我们来继续梳理第三日的情况：

第一日与第二日，请阅读：

一文读懂 PolyNetwork 6亿盗币案 DeFi历史金额最大全程复盘早有预兆

PolyNetwork案第二日：黑客长文自叙攻击“心路历程” 退款顺利已过半

8月12日上午，PolyNetwork 黑客退还了全部Polygon链上的Token，约为8500万。

PolyNetwork发布新的推文：不可否认，我们正在经历一段艰难的时期，但我们还是要提醒所有PolyNetwork的用户，我们现在的首要目标是完全恢复用户资产。团队一直在为实现这一目标而努力。这件事发生了。我们期待白帽先生如他所说的那样归还所有剩余的用户资产，我们将继续努力实现这一目标。

随后，PolyNetwork 黑客又最新对外界的质疑给予了回应：

告诉DeFi 菜鸟说：我最初的尝试是为了利息而存入Curve，这是良性和安全的。我什至不想通过交换导致稳定池的不平衡。我的计划是持有 CRV，直到我意识到取出 USDC 是愚蠢的，然后我别无选择，只能将它们转换为 DAI。其清晰可查，为什么要洗钱？

你为什么认为我没有办法转移资金？因为太多了？TORNADO 够强大，我每个月都可以转账 100ETH，你如何识别现金流？我取笑了他们，但我从未尝试过。

在 DEFI 世界中，代码就是法律。那么谁是仲裁员？我们，黑客，是武装力量。如果您在匿名的情况下获得武器并保护数十亿人免受人群侵害，您会成为恐怖分子还是蝙蝠侠？

告诉安全新手：没有完美的系统。我不认为你应该责怪 Poly 团队或他们的审计员。根据我的经验，了解 Poly 网络系统的整个逻辑并非易事，更难找出细微的错误。我希望你知道的是，不要把你的一生都押在你可能永远无法理解的事情上！

北京时间8月12日晚PolyNetwork黑客返还以太坊链上1.42亿美金，其中包括1032个WBTC与DAI。北京时间8月12日接近12点，PolyNetwork黑客最后一笔28953个ETH正在退款中。根据计算，目前除Tether冻结的3000万USDT，所有退款已基本到位。不过有2.3亿在3/4双方多签地址里。

PolyNetwork表示将奖励黑客“白帽行为”50万美金，但黑客表示：“确实提供了赏金，但我从未回应过他们。相反，我会把他们所有的钱都寄回来。”

此外黑客表示，现在是最后一个代币，ETH！然而，我第一次感到害怕！他们在叫我 6亿先生，但最近ETH的价格在下降，如果我的余额无法支付债务怎么办？ETH 请暴涨吧！

我为任何因我的冒险而受到影响的无辜者感到抱歉。我试图避免向加密世界引入任何噪音：不接触垃圾币，不进行大量交换，不倾销有价值的资产。然而，即使是复仇者也必须面对来自平民的无休止的诉讼。严肃地说，我正在考虑将有限的赏金作为意外受害者赔偿基金的一个来源，但很难证明您的损失是我的错，尤其是当您已经超出了您的能力进行赌博时。另一个令人尴尬的事实是难民已经接管了我的邮件列表，你很难用你的真实故事与他们抗衡。无论如何，我会尝试做一些事情。

随后黑客公布了他的捐赠地址为，并表示它将成为基金的主要来源。

鱼池联合创始人神鱼表示：（此前市场传闻神鱼有一亿美金投入其中）

前天19:30起，至今52个小时，在多方的共同努力与沟通下，推动PolyNetwork安全事件的进展。目前，白帽黑客目前已退还全部-5.8亿美金，其中3343万usdt被Tether冻结，2.3亿在3/4双方多签地址里，至此取得阶段性成果。

作为此次救援事件的亲历者，在此特别感谢白帽黑客MR. 600 MILLION、慢雾、Tether、PolyNetwork等数十位参与者们分布式协同快速完成了漏洞分析，有序沟通，不断推进事件进展。接下来，继续协调各方，做好收尾工作，划上一个圆满的句号。

此次事件是对Defi所有参与者的一次警示，因此我们将在CV（应是元宇宙项目Cryptovoxels）里建造一个纪念碑纪念此次事件，同时致谢所有参与者，推动整个行业的安全发展。

随后神鱼在社区中回复：事情只是取得阶段性成果，离完全退币到位还有一段距离。第一，现在有2.3亿美金还在多签地址，还需要项目方和白帽黑客去协同操作。这个多签地址是3/4的多签，目前是项目方和白帽黑客各两把私钥，即需要白帽黑客同意授权，这笔钱才算真正回到项目方地址；第二，同时还有3300万usdt目前是被泰达冻结状态，需要项目方和泰达那边协同操作；第三，还需要项目方修复系统漏洞，重新上线池子，投资人才能顺利取回。再怎么的乐观估计，也需要一周时间。

吴说区块链主编 Colin 指出，此次事件的成功处理，也使得 DeFi 行业没有遭受类似早期门头沟的“灭顶之灾”。黑客的行为与言论，也确实更像是所谓的“白帽”，而非遭到定位胁迫的黑客。而英国警方日前也破获了BSC的“磁铁大案”，2000多万美金悉数返还，都显示随着加密行业的发展，不同机构的合力与角力平衡，也让行业变得更加正向与强壮。（头图来自Newsweek）

附：“话痨”的黑客又继续了它的自述第四部分与第五部分，包括部分过程信息，以及主动透露它的身份信息，前述内容在上一篇文章中：

Q&A 第四部分：

问：为什么选择 CEX（可能指虎符）？菜鸟？

答：随便 :)

主要挑战是从本体网络（我最喜欢的部分）调用一些合同。你必须为本体网络获得一些“气体”，这被称为“ONG”。

但是，它不是 DEFI 可交易token。我只能在某些中文 CEXS 上找到它。如果您必须通过 CEX，为什么还要在 DEX 进行交易？为什么你认为我可能会在 DEXES 中留下痕迹？

问：为什么要退款？懦夫？

答：随便 :)

当你评判别人时，你没有定义他们，你定义了你自己。

我已经享受了我最关心的事情：黑客和指导。

很少有黑客可以了解 DEFI 安全的情况。是的，您会看到很多黑客行为，但其中大多数并不像真正的黑客那样令人愉快。一些愚蠢的代码会导致大量的损失，但这并不具有挑战性。这就像与青少年对抗。

我承认 Poly Hack 并不像您想象的那么花哨，但我确实从该项目中体验到了一些新东西。我会说找出 Poly 网络架构中的盲点将是我生命中最美好的时刻之一。