2021年迄今DeFi领域已发生70次攻击，被盗资金达6.8亿美元

摘要：

- 今年在四个区块链平台上发生了 70 次 DeFi 攻击；

- 最初有大约 14亿 美元被盗，但 7.6 亿美元已经归还。

The Block 的 Data Dashboard 数据显示，今年迄今，DeFi 攻击中被盗的资金总额已达 6.8 亿美元。

The Block Research 收集的数据显示，最初有 14 亿美元由于漏洞攻击从 DeFi 协议中被盗取，但现在已经有 7.6 亿美元被返还。

数据来源：The Block Crypto Data

在过去的一年里，DeFi 领域见证了四个区块链平台上出现的 70 次大型 DeFi 漏洞攻击。大多数攻击发生在以太坊上——准确地说是 34 次——币安智能链（BSC）紧随其后，共受到 25 次攻击。Polygon 上也发生了 3 次攻击，Avalanche 上发生了两次攻击。

在这些攻击中，34 次使用了闪电贷。这些贷款是在同一交易区块中取出、用于某些功能并全部偿还的贷款。这意味着贷款人知道他们的钱会被归还（或者一开始就根本没有借出过）。

因此，闪电贷可以以极低的成本达到巨额规模，使黑客能够借到大量资金，以便将此类攻击造成的损害最大化。

例如，DeFi 协议 xToken 在 5 月份遭到攻击。攻击者利用闪电贷借了 61800 枚 ETH（价值 2.7 亿美元），扰乱了系统，并盗走  2450 万美元。闪电贷的庞大规模使得攻击更加有利可图。

数据来源：The Block Crypto Data

在五次最大的黑客攻击中，三次是针对 Poly Network 的，该项目在黑客全部归还被盗资金之前总共损失了 6.11 亿美元。其他重大损失包括 Compound，该项目在 9 月份遭遇了一个漏洞，导致意外发行了价值 1.14 亿美元的 COMP 代币，其中约一半被返还。

而最近的一次大规模闪电贷攻击就发生在上月底。

10 月 27 日，DeFi 借贷协议 Cream Finance 再次遭受攻击，损失超过 1.3 亿美元。被盗的资金主要是 Cream LP 代币和其他 ERC-20 代币。根据 Rekt 的排行榜，这是有史以来第三大 DeFi 黑客攻击（尽管另外两次更大的黑客攻击事件都获得了资金返还）。

据悉，Cream Finance 此前曾多次遭受闪电贷攻击，2 月份损失 3750 万美元，8 月份又损失 1880 万美元。

随后 11 月 1 日，Cream Finance 发布了 10 月 27 日闪电贷攻击报告。报告称，攻击者从 C.R.E.A.M. Ethereum v1 市场取走约 1.3 亿美元代币，Cream Finance 正在与当局合作追踪攻击者，将在未来几天公布详细的还款计划。Cream Finance 鼓励攻击者与其对话，以返还用户资金，将在资金返还时兑现 10% 的漏洞赏金。

具体而言，此次攻击混合了经济攻击和预言机攻击，攻击者从 MakerDAO 闪电贷出 DAI 来创建大量 yUSD 代币，同时通过操纵多资产流动性池（包括yDAI、yUSDC、yUSDT 和 yTUSD），利用价格预言机计算 yUSD 价格，yUSD 价格升高后，攻击者的 yUSD 头寸增加，创造了足够的借入限额来抵消 C.R.E.A.M. Ethereum v1 市场的绝大部分流动性。

Cream Finance 称，已暂停 C.R.E.A.M. Ethereum v1 市场的所有交互，关键漏洞在于可封装代币的价格计算，已经停止了所有可封装代币的供应/借贷，包括所有 PancakeSwap LP 代币。

目前，Cream Finance 官方尚未就此事发布进一步的更新说明。而此次被盗资金能否归还也不得而知。

此外，BSC上最近也发生了一次大型攻击事件。去中心化交易协议BXH称于10月30日遭到攻击，初始黑客获利地址（BSC: 0x48c94305bddfd80c6f4076963866d968cac27d79）已将4000 ETH从BSC链转移到ETH链，接着将300 BTCB兑换为renBTC跨链到地址（1Jw...9oU和1Fr...Vow）。据慢雾监测，黑客在洗币过程中，多次使用了AnySwap、PancakeSwap、Ellipsis等兑换平台，其中部分ETH代币被兑换成BTC。此外，黑客现已将13304.6 ETH、642.88 BTCB代币从BSC链转移到ETH、BTC链，目前，初始黑客获利地址仍有15546 BNB和价值超3376万美元的代币。

值得一提的是，以上这些数据不包括拉地毯（rug pulls）和其他加密诈骗，而只关注于针对 DeFi 协议的攻击。