StableMagnet Finance2700万美元跑路案告破，警方发起DeFi史上首次链上退款

Poly Network 被攻击之后的 52 个小时内，在安全公司、白帽黑客、交易平台等多方的联手下，黑客悉数归还了被转移的资产。

几乎是同一时间，另一起发生于 6 月 23 日 BSC 网络上的稳定币兑换自动做市项目 StableMagnet Finance（SMAG）跑路案宣告侦破，英国警方将启动链上退款。用户损失金额超过 2700 万美元，英国警方追回了约 2225 万美元资产。

在英国警方的通报中，我们得以窥探到，诈骗犯是如何被发现并追回大部分资产。英国曼彻斯特警方在接到相关情报之后，确认了犯罪嫌疑人可能在曼彻斯特天牛后对其进行了追踪，并找到了一个包含被盗资产的 U 盘，其中有价值 950 万美元加密货币。几天后，警方又在一个在线保险箱中发现了价值 1270 万美元加密货币。

在追回了大部分加密货币后，英国警方宣布启动链上退款。作为 DeFi 攻击史上首次由警方发起的链上退款事件，警方需要对申领人进行 KYC，验证其本人真实身份以及钱包所有权。并且受害人需要向警方报案，并取得报案回执单以备查验。在经过校验后，受害人可获得 90% 的 USDT-ERC20 被盗资产。律动 BlockBeats 和该事件的受害人 L 以及来自 BSC 社区 KOL 并为警方提供了线索的 Ogle 聊了聊。

律动 BlockBeat：印象中千万美金级别以上的 DeFi 攻击事件，比如 dForce 上的 lendf.me 协议与 Poly Network，从案发到阶段性解决基本在数天内完成，StableMagnet 却接近 2 个月。我看您说这个团队的社会信息很早就被公布了，为什么警方没有按照信息去执行？

L：SMAG 案件的解决在 DeFi 攻击事件中可谓旷日持久，从被盗到警方找回资产一共差不多四周。社区调查组付出了远超其他同类案件的努力。SMAG 案件与其他两个案件有诸多不同，导致 SMAG 事件解决远比其他 DeFi 攻击事件棘手。

首先，虽然上述两个案件都是外部攻击项目方，但是 SMAG 是项目方本身为了 rugpull 而精心设计的骗局。在前两个案件中，项目方作为被攻击方，其团队以及背后的机构作为最大的受害者之一，有强大意愿与执行力。从被攻击之初就强力推动事件解决，黑客通常也更畏惧有组织的中心化推手，因此在局面出现变化时更容易妥协。而 SMAG 是一个无主要机构参与的匿名项目方，参与者都是在社区中自发前来挖矿的大众。当项目方实施行动后，他们认为这些分散参与者无法组织对他们构成威胁的有效调查，因此从一开始他们并不畏惧。

在去中心化世界，资本与权力同样非常重要。O3 与 Poly Network 是行业知名项目，众多机构与圈内头部权力人士参与。案发后，大型机构与头部用户在行业中一呼百应、得到业内包括 Tether、USDC 等各大项目以及交易平台的快速响应，集百家之力迅速震慑黑客，让黑客迅速屈服，SMAG 事件是没有机构光环与权力支持下的去中心化社区团结自救、与顽固骗子开展的对抗。他们虽然在案发后十几分钟便迅速联络交易平台，但涉案交易平台超过六小时都未进行响应，甚至有上千万美金的资产成功通过交易平台跨链转移，待遇与 Poly 事件天差地别。条件如此悬殊，SMAG 骗子一开始也满心轻蔑。

其次，骗子首领的性格与风险偏好有显著不同，我不是特别了解 lendf.me，但我跟进了 Poly 黑客事件。Poly Network 黑客大概率是单独作案，可能是个技术过人且才华横溢的年轻人，没准还在读书。他非常自信、但并不疯狂。他理智、胆小，对风险有清晰的认知。当他的某些线索被掌握之后，即便对其自身还未构成威胁，他便开始害怕。他不像他说的那样不在乎钱，而是因为外界压力和相关线索被持续挖掘而愿意妥协，但他并不愿意展现出屈服的态度，于是通过戏剧化又歇斯底里的表现，他试图让自己想变成「白帽」、救世主，以掩盖他最初卑鄙的动机，从而得以在聚光灯与掌声中全身而退。与 Poly 黑客截然相反，SMAG 这一伙人给我们的感觉是极端顽固，极度自信，甚至可谓傲慢，他们坚信自己无论如何都不会有后果，相信我们找不到证据也找不到他们。他们拒绝任何形式的屈服，即便身份暴露、即便社区与匿名组织多次直接联系项目方成员、发布警告，都无动于衷。

在骗子冥顽不灵并拒绝沟通的情况下，只有找到他们本人才能解决问题，我们寄希望于警方。社区掌握到项目方人士信息后，立刻传递给了香港警方。香港警方一开始对待该事件的态度是不紧不慢，收到线索他们也不打算采信社区的线索，而执着从 Binance 获取的证据。然而当时香港警方与 Binance 出现一些沟通困难，于是香港方面没有任何进展，即便香港在案发一周内已实现立案。从那时起，局面陷入了僵局。直到一条新线索指示项目方成员已从香港逃往英国。随后更多的信息挖掘，让他们在英国的地理位置越发清晰。

英国匿名者已在当地报案并且警方迅速立案，社区很快把项目方成员与他们的位置信息通知了英国警方。英国警方非常重视本次事件，案件规格很高，警方也很高效，他们根据线索在几天内便直接抓获了两个相关成员，并缴获大量加密的电子设备，此时距离案发已经超过两周。在控制这两位相关人员后接下来几天，被捕人士终于在警方的压力下屈服，分两次归还了他们存放在 Tornado 中的以太坊。但配合警方的只有被捕的成员，其他在英国的项目成员拒不露面，甚至在归还资产时仍与警方玩小把戏，视权威于无物。此时距离案发已经三周。

Ogle：我同意 L 的观点。我认为，由于我们无法控制的幕后原因，对这些人的追捕有些迟缓。我们曾试图在被攻击 24 小时内与骗子取得联系。我们最开始希望以一种去中心的方式来解决问题。社区自行解决是最合适的方式，而非通过中心化的警方。

不过，骗子不愿意妥协，他们无视任何消息。与此同时，有用户向 Binance 和香港警方发送了该案的信息。但是 Binance 和香港警方之间的沟通出现了障碍，并陷入了僵局。随后，骗子从香港离开并来到英国。这可能是骗子最愚蠢的决定了，他们傲慢得令人费解。目前，他们正在被大量的团队最终。自首才是最聪明的做法。不然，他们可能会付出更高的代价。

律动 BlockBeat： Ogle 说，O3 属于黑客找到漏洞，而 SMAG 是纯粹的诈骗，在 SMAG 的调查中，有哪些关键因素导致诈骗团队暴露了信息?

L：没有完美的犯罪。由 Ogle 为核心的社区调查组与数个匿名组织在项目跑路后，对骗子留下的各种痕迹做了大量的信息挖掘，包括且不限于钱包地址、转账记录、合约代码等等。我们无法向公众说明细节，但我们可以通过一些例子说明。比如我们发现项目方成员犯下了一些关键错误，比如他们重复使用了他们在过往制作的 DeFi 项目中的代码，因此暴露他们曾经组织了其他项目，他们的 Github 随后也因此暴露，通过 Github 找到了重要的线索，这只是一个例子。随后顺着这些信息，更多的个人信息被暴露了出来。当拼图一块接一块拼凑起来时，全貌也逐渐呈现。通过系统的调查分析与社会工程（social engineering），他们的个人信息、社会关系被完成地呈现出来。

律动 BlockBeat： 在 DeFi 攻击历史上看，这是首次警方链上退款，您和其他报案人是如何说服警方启动链上退款的？警方会如何判断收款人身份呢? 退款流程是怎样的? 需要 KYC 吗？

L：这是 DeFi 攻击历史上首次警方参与侦破并且由警方推动链上退款的项目。而且发起的警方是英国警方，众所周知英国是传统金融与传统秩序的桥头堡，中心化世界的最大势力之一。此举在 DeFi 与中心化世界都有里程碑意义。

对英国警方来说，最通用的方案是把数字资产变卖成法币，通过法币退款。但在本次事件中，有大量的亚洲地区受害者，尤其是中国受害者。如果通过法币退款，他们将面临巨大阻力。Ogle 与英国匿名者共同向警方建言，请求警方本着国际人道主义精神，为全球尤其是中国受害者提供便利。英国警方也非常开放地听取社区建议，并最终采取了链上退款的方式，实现了这个 DeFi 历史上的重大突破。

警方需要对申领人进行 KYC，验证其本人真实身份以及钱包所有权。钱包所有权验证是让申领人发送指定数量的某个代币到特定地址，从而验证所有权。另外，还要求申领人向警方（不限地区）报案，并取得报案回执，并且提供警官联系方式以供查验。在完成以上校验后，警方将以 USDT-ERC20 退还 90% 的被盗资产给申领人。

律动 BlockBeat： O3 和 SMAG 本质不同，属于两种类型的资产损失，您认为投资者应该如何挑选参与 DeFi 项目呢？

L：O3 是跨链流动性项目，SMAG 是 BSC 稳定币兑换项目。两个项目都是稳定币 LP 池遭受损失，用户损失的都是稳定币。用户挑选 DeFi 项目，最重要是关注合约安全。理想状态下，用户最好有审计合约的能力。然而这对多数人来说都并不现实，他们并没有这种专业能力。在这种状况下，用户可以考虑做以下措施，虽然无法消除风险，但至少可以降低风险：

·首先是避免参与名不见经传的匿名项目，也就是所谓土狗。

·不要盲目冲头矿，没有先人探路，自己很可能成为开路先烈。

·可以关注在社区中已经有一定关注热度与较大 TVL，并且稳定运行一段时间的项目。

·如果项目有知名机构参与，也是一个加分指标。

·分散投资，不要把你的资产集中在同一个项目中，不管其收益有多高。

·宁缺毋滥，保护本金。

Ogle：用户必须做的一件事是在参与项目之后取消授权。当你授权交易许可之后，项目合约便可以以任意方式使用你的代币。在 SMAG 事件中，有数百万美元是直接从受害者钱包中提走的，因为用户没有取消授权。

同时，尽量不要给项目无限制金额的授权。如果之前这么做了，建议使用类似 DeBank 的工具取消授权。

还有个同样重要的建议，不要在 DeFi 世界中单打独斗。加入微信、电报、Discord 等社区，向社区用户寻求帮助和建议，避免陷入困境。

律动 BlockBeat： 我看有的投资者表示已经对去中心化失望，您如何看待 DeFi 领域不断地资产损失事件，会对 DeFi 失去信心吗？

L：我一直认为不存在绝对的中心化与绝对的去中心化。中心化与去中心化是对立统一，共存而互相制衡，类似中国的」阴阳」。目前去中心化世界的发展仍处于相当早期，有太多的课题有待探索完善，如果盲目推崇去中心化极端主义以及彻底的」代码即法律」，不会带来真正的发展与未来。

我是一个长期主义者，学生时代曾系统学习过科技发展史与理论。虽然 DeFi 不断出现各种事件，但我仍对 DeFi 未来充满信心。任何事物的早期的发展都是无序和混乱的，这是再正常不过的现象。世界是螺旋式上升发展，DeFi 也是如此。无数参与者在灾难中反思，在失败中改良，在挫折中优化，最终教育所有的参与者，为 DeFi 带来新的进步。

Ogle：我认同 L 的说法。