DeFi托管风险几何？智能合约漏洞致2700万损失事件复盘

你可能听说过DeFi，它就像是一个没有银行参与的金融世界，大家通过智能合约直接进行借贷、交易等操作。听起来很酷，对吧？但最近发生的一起事件，让我们不得不重新审视这个“乌托邦”的安全性。

DeFi（去中心化金融）托管风险主要源于其去中心化架构和智能合约的自动化执行特性。与传统金融相比，DeFi托管无需中介机构，资产由用户通过私钥直接控制，私钥是用户控制DeFi资产的关键，一旦泄露或丢失，资产将无法找回。例如，2020年加拿大加密交易所QuadrigaCX因创始人去世导致私钥丢失，用户损失1.9亿美元。且智能合约是DeFi协议的核心，但代码中的漏洞可能被黑客利用，导致资产被盗。智能合约的自动化执行特性使得漏洞一旦被触发，损失往往难以挽回。

故事的主角是一个名为Poly Network的跨链互操作协议。2020年8月，Poly Network主网上线，号称是全球领先的“轻量级”异构链跨链互操作协议。简单来说，它就像一个桥梁，连接了不同的区块链，让它们可以互相通信和交易。

然而，2021年8月10日晚上8点38分，Poly Network突然宣布遭到黑客攻击，共计超6.1亿美元被转出至3个地址。其中，转出至币某安智能链地址的资金有超2.5亿美元，转至以太坊地址的有超2.7亿美元，转至Polygon地址的有超8500万美元。

攻击过程

初始资金：黑客初始的资金来源是门罗币(XMR)，然后在交易所里换成了BNB/ETH/MATIC等币种并分别提币到3个地址。这很可能是一次蓄谋已久的、有组织有准备的攻击行为。

攻击启动：黑客在3条链上发动攻击，转出了大量资产。其中，BSC资产包括6613枚BNB、87,603,671枚USDC、26,629枚ETH等；Polygon资产包括85,089,719枚USDC；以太坊资产包括96,389,444枚USDC、1,032枚WBTC等。

资金冻结：Tether首席技术官Paolo Ardoino发推称，Tether已经冻结攻击Poly Network的黑客地址3300万USDT。然而，币某安与Circle没有冻结BUSD与USDC，导致后续1.2亿美金的稳定币被转出。

洗钱尝试：黑客尝试将资金存入Curve.fi洗钱，但由于USDT被冻结导致交易失败，随后只存入DAI和USDC，共存入近一亿的稳定币。

安全公司BlockSec初步分析认为，导致攻击发生的原因可能为用于跨链签名的私钥被泄漏或者签名程序有逻辑漏洞导致签署出攻击交易。慢雾安全团队分析称是由于跨链合约keeper被修改为黑客制定地址，从而使黑客可以随意构造交易从合约中取出任意数量的资金。