DeFi平台Poly Network遭黑客攻击，6.1亿美元资产被盗

8月10日晚间，跨链DeFi平台Poly Network遭到黑客攻击，黑客窃取了大约6.1亿美元的加密货币。

Poly Network是一个中国的跨链互操作协议，目前已集成三个主流生态——币安智能链、以太坊和Polygon。黑客依次攻击了三条链上的协议，分别盗走了2.7亿、2.5亿、8500万美元，被盗资产分别被转移进了3条链上的3个钱包地址里。

截止Poly Network官方发布攻击消息时，三个钱包地址总共持有超过6亿美元的加密货币，包括USDC,WBTC,WETH,SHIB。Poly团队随后呼吁相关矿工和加密货币交易所将这三个钱包地址加入黑名单。

多个项目方已经出面回应，Tether的CTO Paolo Ardoino在推特上表示，Tether已经冻结了与这次黑客攻击有关的大约3,300万美元资产。币安、OKEx、Huobi三大所的CEO也先后表示，将尽力帮助将损失减少到最轻。

6亿美元将使Poly Network黑客事件成为加密历史上被盗金额最大的黑客事件。

事件发生后，黑客已经将超过1亿美元的资产从币安智能链钱包地址转移到Ellipsis Finance协议流动池。期间，黑客还曾试图将盗窃资产转移到以太坊协议Curve.fi流动池，不过该交易被拒绝了。

攻击手段分析

据区块链安全公司BlockSec针对攻击的初步分析，此次黑客攻击可能是由于签署跨链信息的私钥泄露而引发的，另一个可能的原因是Poly团队在签名过程中存在的错误导致签名被滥用。

以太坊开发者Mudit Gupta写道，Poly Network使用多签钱包来进行交易，四个私钥保管人拥有签署交易的私钥，每次交易至少需要3个人签名。黑客掌握了至少3个私钥，然后把多签改成单签，将其他私钥所有者锁在了外面。

区块链安全公司慢雾则认为，黑客是利用智能合约漏洞改变了私钥管理人，将收款地址替换成自己的钱包，这起事件不是私钥泄漏造成的。

无论黑客是窃取到了私钥还是利用了智能合约的漏洞，达成这些目的最简便的途径就是身处团队内部，所以这次事件会是内部人员作恶吗？区块链分析公司CipherTrace就质疑这是否是退出骗局(Exit scam)，这是去年加密世界中最流行的诈骗形式。

现在下结论还为时过早，慢雾表示，他们已经通过链上和链下追踪掌握了攻击者的邮箱、IP地址和设备指纹，并正在进一步追踪可能的身份线索。

跨链协议的脆弱性

根据慢雾的说法，攻击者首先用保护隐私的门罗币兑换成 BNB、ETH、MATIC，随后发起了对以太坊、BSC 和 Polygon链的攻击。根据这些交易记录和资金流向，这很可能是一场蓄谋已久、有组织、准备充分的攻击。

针对此次攻击，币安智能链发言人表示，作为一个“去中心化”的区块链，BSC上的协议和用户需要极其慎重地采取安全措施。

“Poly漏洞已经给 以太坊、Polygon和BSC用户造成了巨大的损失，”发言人说，“最近，多个去信任的跨链桥项目已经成为此类严重攻击的受害者，我们强烈建议互操协议在与任何项目进行交互之前需要进行必要的安全审计和尽职调查。BSC目前正在与安全公司合作，尽可能地为正在进行的调查提供支持。”

Poly Network团队也给黑客写了一封公开信，向他施压，敦促其尽快归还盗窃资产。“您所黑的资产金额是DeFi历史上最大的，任何国家的执法部门都会将此视为重大经济犯罪，您将受到追捕。”

Poly Network事件再次表明新生的跨链协议很容易成为攻击的目标。7 月，跨链流动性协议Thorchain在两周内遭到两次攻击。另一个跨链DeFi协议Rari Capital在5月份遭到攻击，损失了价值近1100万美元的ETH。跨链是一个相当复杂的领域，不同链的特性以及与其他链连接带来的复杂性，更放大了存在的挑战。