为了防止DeFi攻击 我们都要做什么？

智能合约给了我们去中心化，无需信任，去信任等众多特点，但去除人为操作之后，一旦智能合约开了天窗，那么资产有可能被黑客予取予求。DeFi普及率和采用率升高，项目方鱼龙混杂，如何才能火眼金睛的保护资产变得愈来愈重要。

本片比较浅尝辄止的分析了2021年以来DeFi被攻击的例子，并且提出了预防的方式。偏简单易懂。

目前，DeFi细分市场有两个特点：一是它正飙升至前所未有的高度：它监管不力，几乎没有任何拥有资源或技术技能的人能够经营智能合约并吸引用户。这两个因素使得该领域对攻击者来说十分诱人。

这些攻击究竟是如何发生的？如何保护自己？我们将研究其机制，并提供DeFi中最大攻击的例子，以便了解哪些协议需要特别谨慎。

DeFi提供基于区块链的金融服务，如借贷和生息。关键的一点是，DeFi是具有包容性且无需许可的——任何人，无论他们的公民身份、社会地位和信用历史如何，每个人都可以利用它。DeFi是去信任的，因为它运行在智能合约上——所有的条款和条件都是事先描述过的，用代码编写，现在无需人工干预就可以执行。在这里，用户唯一可以信任的是协议团队编写良好代码的能力。反过来，由于大多数项目都是开源的，审计和社区通常会检查这一点。

中央网信办熊希贤：坚持真应用，避免炒概念蹭热点为了用区块链而用区块链:12月26日，2021CCF中国区块链技术大会在海南海口举办，中央网信办信息化发展局政策规划处熊希贤发表致辞时分享了区块链创新应用工作的几点体会。

一是要坚持真创新，强化原始创新、集成创新和应用创新，加强对国际区块链技术发展和应用前沿的跟踪研究。

二是坚持真应用，避免炒概念蹭热点，为了用区块链而用区块链。要聚焦数字技术与实体经济深度融合的重点难点问题，挖掘真正适合区块链应用的场景。

三是构建良好生态，坚持胸怀全国，强化全局性谋划，前瞻性布局，整体性推进，统筹协调政企学研用国防资源共主开放友好，和持续的区块链技术生态和多方协同的产业生态。[2021/12/26 8:04:52]

然而，这怎么能给操纵留下空间呢？

攻击者如何利用DeFi中的不安全性？

对DeFi的黑客攻击是指某人利用协议的漏洞来获取锁定在协议中的资金。以下是实现这一目标的三个主要“策略”：

Robinhood创始人：SEC加强监管是为了控制 而不是保护投资者:9月29日消息，美国零佣金炒股平台Robinhood联合创始人兼CEO弗拉德·特内夫（Vlad Tenev）周二撰文称，美国证券监管机构计划对智能手机交易应用程序和订单流支付业务模式实施更严格的监管，是为了更好地控制，而不是为了保护投资者。詹斯勒还表示，他的机构正考虑针对订单流支付的新规定，这是做市商支付给Robinhood等经纪商以获得执行客户交易的特权的做法。（金十）[2021/9/29 17:14:43]

DeFi项目制作得非常快，团队并不总是有时间彻底检查他们的代码。黑客利用了这些漏洞。

DeFi的每个协议都有自己的机制，用户如何锁定他们的资金，以及他们如何获得回报。有时候，协议的创始人并不知道这些机制是如何被滥用的，并成为大赚一笔的漏洞。

一些团队故意制造问题——他们通过出售他们的股份和倾销代币来滥用他们在项目中的巨大影响力（社区没有注意到这一点）。

北京市天元律师事务所合伙人朱宣烨：Coinbase合规性成为了第一个在美股上市的原因:金色财经现场报道，4月28日，第62期金色沙龙在北京举办。在现场，北京市天元律师事务所合伙人朱宣烨以《从Coinbase在美合规上市，谈我国数字资产领域的风险防范》为题进行分享。他表示Coinbase因为它的合规性，成为了第一个在美股上市的原因。首先一个点，Coinbase没有一个固定的总部，绝大部分业务在线上。正是因为在线上，不是在各个国家，分布在很多个国家。意味着要遵守每一个国家的规范，不是说这部分业务在美国，就可以不去遵守别的国家的规范。任何一个国家的规范，任何一个国家的监管，都会有一个蝴蝶效应。在它的招股书里自己承认了，我们是要做全球的合规，并不是只做一个国家的合规。而且全球的监管也是在互相沟通，也是在互相影响。所以它们觉得我是一个全球、全局的考虑，任何一个区域内的法律规范，都会尽量去理解。

Coinbase积极应对不同司法辖区的监管。要遵守反、违法犯罪活动的报送，对于司法禁止的行为，有一些发现机制和报送机制。[2021/4/28 21:07:12]

让我们看一下DeFi中最广泛使用的两种机制——拉地毯和闪存贷款攻击。

动态 | 观点：比特币价格下跌的原因是投资者为了避税:Adamant Capital联合创始人 Tuur Demeester表示，比特币价格下跌的原因是投资者(显然是大型投资者)正在出售他们的比特币，以减少即将缴纳的税款。然而，根据Tuur Demeester的理论，他们现在正在出售比特币，打算以后再以更低的价格买入，重新使用比特币。不过Fundstrat首席分析师Tom Lee不同意Demeester的看法，称这听起来不像是真的，因为机构投资者不会在流动性强的市场中故意亏钱。[2019/11/25]

拉地毯——在没人预料到的时候撤回流动性

在“拉地毯”中，业主或开发商突然从池中撤出流动性，引发恐慌，迫使所有人都卖掉资产。基本上，这是一个退出局。创始人在一个项目中所占的股份越高，这个项目就越可疑:“拉地毯”正是DeFi讨论的集中化风险之一。

它是这样开始的：创始人宣布了一个带有原生代币的新平台，提供了一些很酷的奖励。然后，该团队在去中心化的交易所(如Uniswap)上创建一个流动性池，代币与ETH、DAI或其他主要货币配对。用户被鼓励带来更多的流动性，因为这将给他们带来高收益。一旦代币价格上涨，创始人就会收回他们的流动性并消失。

声音 | Primitive Ventures创始合伙人：Telegram的ICO是为了解决应用本身的资金问题:Primitive Ventures创始合伙人Dovey Wan在社群中表示，Telegram团队的重心和优先级完全不在币这条业务线上。融资更像是Telegram应用本身的资金纾困，这么大体量的应用，没有收入持续烧钱支撑，后台开销是非常巨大的，在巨额ICO之前团队一直都是自掏腰包。创始人Pavel Durov很坚决，不上市，不融股权，Telegram本身也不做广告，且不收费，所以只能选择如此（ICO）。作为大案要案肯定有巨大监管摩擦。[2019/10/15]

开发者拥有大量股份并不是件好事，但即使有，也有一种保护项目的方法：开发者可以设置一种不允许他们在未来某一天之前退出的程序。这大大增加了对该项目的信任。

闪电贷款攻击——抽取和消除流动性

什么是“闪贷”？它允许用户在很短的时间内，在没有抵押品的情况下，借到无限量的钱——用户必须在下一个区块被开采之前偿还贷款和利息而开采只需几秒钟。如果用户不偿还贷款，交易将不会结束，借入的资金将从用户那里被拿走。

闪贷的关键用途之一是套利：从不同平台上的资产价差中获利。比如，以太坊在交易所A的成本为2000美元，在交易所B的成本为2100美元。用户可以获得价值2000美元的闪电贷款，在交易所A购买ETH，在交易所B出售，用户的利润将是100美元减去gas费和贷款费用。

闪电贷的无限性质为漏洞利用铺平了道路。以下是快速贷款攻击的一般方案：

一个攻击者借200个代币 A，价值10万美元(一个代币 A价值500美元)。

然后，他在A/B流动性池中大举买入代币B。这推高了代币B的价格，而代币A下跌，现在只值100美元。

当代币B暴涨时，攻击者以 100 美元的价格将其卖回代币 A。现在，相比最初的200代币，其可以买得起1000代币A(在价格下降5倍后)。

然而，攻击者只是在这个智能合约中降低了代币A的价格。闪贷的贷款人仍然以500美元的价格购买代币A。因此，攻击者用他的200代币A偿还贷款，并拿走剩下的800枚。

正如所看到的，闪电贷款利用了去中心化交易所的本质，而没有实际的黑客行为。他们只是简单地抛出抛售代币A，并移除池中相当一部分的流动性，这基本上是在窃取流动性提供者的资金。

1. Meerkat Finance 黑客

2. Alpha Homora 闪电贷款攻击

风险正在上升！今年2月在Alpha Homora攻击中，3700 万美元被盗。该借贷平台于2020年10月启动，最近升级为V2版本。在一个Alpha Homora V2池中，攻击者借入和出借了数百万个稳定币，使其价值膨胀，使攻击者获得巨额利润。

3. EasyFi 私钥失窃

今年4月，基于Polygon的借贷协议EasyFi遭遇了最严重的一次DeFi黑客攻击。在一次黑客攻击中，一名网络管理员的私钥被窃取，这让攻击者得以获得该公司的资金。价值7500万美元的三百万EASY代币被盗。除此之外，EasyFi的保险库里还有价值600万美元的稳定币被盗。

4. Saddle Finance 套利利用

这是另一个闪电贷款攻击，尤其是这次。Saddle Finance 是一种类似Curve的协议，用于交易包装资产和稳定币，在其发布一天后，于2021年1月21日遭到攻击。通过进行一系列的套利攻击，攻击者在短短6分钟内成功获取了近8个比特币的流动性。这可能是由于池的智能合约中的一个漏洞——攻击者将稳定币的价格拉得太高，以至于价值0.09 BTC的一个代币被换成了另一个价值 3.2 BTC 的代币。

“闪贷”总是出人意料地发生，人们也不可能总是提前看到“拉地毯”的可能性。然而，遵循这些建议将帮助用户更多地注意可疑迹象，并可能帮助用户避免金钱损失。特别注意:

团队和它的声誉。创始人和开发者是谁？团队是公开的吗？它曾经参与过任何值得信赖的加密项目吗？如果没有，这也不一定是坏事，但应该引起关注。

访问金库。这个团队有吗？到什么程度？如果创始人的持股比例过高，这并不是一个危险信号。

多重签名访问公司资金。如果开发人员启用了多签名访问库，并且团队之外的人拥有一些签名，这可能有助于防止“拉地毯”。

寿命及其流动性。如果开发人员将他们的资金锁定在一年左右的时间内，用户可以放心，团队至少在这段时间结束前不会退出。

随着 DeFi 的成熟，池中有相当数量的流动性，池中的大量流动性可能是降低闪电贷攻击风险的主要因素。

闪电贷最高限额不允许攻击。

对智能合约的安全审计将为易受攻击和配置错误的合约腾出空间。

更好的监管将有助于避免故意发布易受攻击的协议。

一些项目已经实施了社区漏洞奖励，帮助用户在协议中发现漏洞和后门获得奖励。

DeFi使用无需许可和去信任的工具在短时间内提高可观的收入，从而彻底改变了金融。然而，它的众多漏洞经常被攻击者和恶意开发人员使用。每次攻击都要求协议提高安全性，这就是DeFi黑客帮助该行业发展的方式。

标签：DEFIDEFEFI区块链Mooni DeFiDEF价格GameFi区块链技术通俗讲解无中介

火必热门资讯