DeFi协议的钱是如何被盗的？

8月10日晚间，跨链协议Poly Network确认被盗6亿美元的消息震惊整个加密行业，目前已经确定这是历史损失最惨重的黑客攻击事件。有意思的是，8月11日16:43黑客开始逐批偿还被盗资金。

从Chainswap到Poly Network事件，DeFi跨链项目的安全建设仍长路漫漫。34分钟抢走6.1亿美金，成史上最大盗窃案！

要知道，2020 年全年 DeFi 攻击事件共发生 60 余起，损失总和约为 2.5 亿美金，Poly Network 一场攻击就超过了 2020 年整年 2 倍有余。

这个量级的被盗规模，位列 DeFi 历史之首。

DeFi协议的钱是如何被盗的？分析了几十起黑客攻击事件后，确定了导致黑客攻击的最常见问题——滥用第三方协议和业务。

逻辑错误

任何攻击都主要从分析受害者开始。区块链技术为自动调整和模拟黑客攻击的场景提供了许多机会。为了使攻击快速而隐蔽，攻击者必须具备必要的编程技能和智能合约工作原理的知识。

黑客的典型工具包允许他们从网络的主要版本中下载自己的区块链的完整副本，然后对攻击过程进行全面调整，就好像交易发生在真实的网络中一样。

接下来，攻击者需要研究项目的业务模式和使用的外部服务。业务逻辑的数学模型和第三方服务的错误是最常被黑客利用的两个问题。

根据一个统计数据（自2020年夏天以来），既定类型的风险占损失的比例最小——只有10次黑客攻击，造成的损失总额约为5000万美元。

编码错误

智能合约在IT领域是一个相对较新的概念。尽管它们很简单，但智能合约的编程语言需要一个完全不同的开发范式。开发人员往往根本不具备必要的编码技能，并犯下严重错误，导致用户的巨大损失。

安全审计只能消除这类风险的一部分，因为市场上的大多数审计公司对他们的工作质量不承担任何责任，只对财务方面感兴趣。由于编码错误，超过100个项目而被黑客攻击，造成的总损失约为5亿美元。

一个鲜明的例子是发生在2020年4月19日的dForce黑客事件。黑客利用ERC-777代币标准中的一个漏洞，结合重入攻击，偷走了2500万美元。

这次黑客攻击暴露了dForce团队缺乏健全的智能合同质量管理和研发系统以及风险预警机制。DForce使用的代码是从DeFi贷款市场的领导者Compound那里复制来的。它缺乏必要的审查，几乎没有安全检查或审计，也没有针对智能合同中可能存在的漏洞设计应急程序。

闪电贷和矿工攻击

提供给智能合约的信息只在执行交易时相关。在默认情况下，合约不能幸免于对其中包含的信息进行潜在的外部操纵。这使得一系列的攻击成为可能。

闪电贷作为一种套利工具，可被用来实现以极低甚至零成本在各个 DeFi 协议之间进行高额套利，甚至利用可组合性的漏洞进行黑客攻击盗取巨额资金。从去年开始，陆续发生的多起闪电攻击事故已证明了其可行性，可以说，闪电贷攻击就像一颗定时炸弹，已成为 DeFi 的巨大安全隐患。

矿工攻击类似于基于工作量证明共识算法的区块链上的闪电贷攻击。这种类型的攻击更加复杂和昂贵，但它可以绕过闪电贷的一些保护层。

它的工作原理是这样的。攻击者租用挖矿能力，形成一个只包含他们需要的交易的区块。在给定的区块内，他们可以首先借用代币，操纵价格，然后归还借用的代币。

由于攻击者独立形成了进入区块的交易，以及它们的顺序，攻击实际上是原子性的（不能将其他交易“嵌入”到攻击中），就像闪电贷的情况。这种类型的攻击已经被用来攻击100多个项目，损失总额约为10亿美元。

随着储蓄、支付和贷款等新金融产品的增长，我们已经开始看到整个DeFi领域的巨大发展。为了让DeFi社区从行业发展中获得回报，实施安全最佳实践是当务之急。